CVE-2026-58144

ŚrednieCVSS 5.4

Opublikowano: 09/07/2026(UTC)Zaktualizowano: 14/07/2026(UTC)Przetłumaczono: 16/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.14%

Percentyl 3 - wyżej niż 3% wszystkich znanych CVE

Streszczenie

Cotonti Siena 0.9.26 i wcześniejsze zawiera podatność na trwałe ataki XSS, która pozwala uwierzytelnionym użytkownikom z dostępem do PFS na wstrzyknięcie dowolnych skryptów poprzez podanie złośliwego HTML w parametrze ntitle przetwarzanym przez filtr TXT w pliku pfs.main.php. Atakujący może utworzyć folder z spreparowanym tytułem zawierającym znaczniki skryptów, które są przechowywane bez escapowania w bazie danych i wykonują się w przeglądarce każdego użytkownika przeglądającego listę folderów, w tym administratorów.

Ocena ryzyka

Ryzyko dla organizacji obejmuje możliwość kradzieży sesji, przejęcia kont administratora oraz wykonania nieautoryzowanych działań w kontekście ofiary, co może prowadzić do wycieku danych lub naruszenia integralności systemu.

Rekomendacja

Należy niezwłocznie zaktualizować Cotonti Siena do wersji powyżej 0.9.26 lub zastosować łatkę zabezpieczającą, która odpowiednio escapuje dane wejściowe w parametrze ntitle przed zapisem do bazy danych.

Inne podatności w Cotonti Siena

CVE-2026-58143Wysokie
Cotonti Siena 0.9.26 i wcześniejsze zawiera podatność na fałszowanie żądań międzywitrynowych (CSRF), która pozwala nieuwierzytelnionym atakującym na modyfikację konfiguracji administratora poprzez nakłonienie zalogowanego administratora do wysłania sfałszowanego żądania POST do modułu aktualizacji konfiguracji w admin.php, który nigdy nie wywołuje funkcji walidacji CSRF aplikacji. Atakujący mogą wyłączyć białą listę rozszerzeń plików modułu PFS, ustawiając pfsfilecheck na 0, co umożliwia każdemu użytkownikowi z dostępem do PFS przesyłanie i wykonywanie dowolnych plików PHP na serwerze.

Oryginalny opis (angielski, źródło NVD)

Cotonti Siena 0.9.26 and earlier contains a stored cross-site scripting vulnerability that allows authenticated users with PFS access to inject arbitrary script payloads by supplying malicious HTML in the ntitle parameter processed through the TXT filter in pfs.main.php. Attackers can create a folder with a crafted title containing script tags that are stored unescaped in the database and execute in the browser of any user who views the folder listing, including administrators.