CVE-2026-55744

Nome do Software Vulnerável e Versões Afetadas Cotonti versão 1.0.0

Description O módulo Personal File Storage (PFS) está suscetível a Cross-Site Request Forgery (CSRF), uma falha onde um invasor engana um usuário autenticado para realizar ações indesejadas. No arquivo modules/pfs/inc/pfs.main.php, a ação de upload 'a=upload' não chama a função cot check xg() para validar o token anti-CSRF. Isso permite que um invasor remoto atraia um usuário autenticado para uma página maliciosa e force seu navegador a enviar uma solicitação multipart forjada, resultando no upload de arquivos arbitrários no armazenamento PFS do usuário.

Recommendations Para a versão 1.0.0, certifique-se de que a função cot check xg() seja chamada na ação 'a=upload' em modules/pfs/inc/pfs.main.php para validar o token anti-CSRF. Como mitigação temporária, restrinja o acesso ao módulo Personal File Storage (PFS).