CVE-2026-55745

Nome do Software Vulnerável e Versões Afetadas Cotonti versão 1.0.0

Descrição O módulo Personal File Storage (PFS) está suscetível a Cross-Site Request Forgery (CSRF), uma falha onde um invasor engana um usuário autenticado para realizar ações indesejadas. No arquivo 'modules/pfs/inc/pfs.editfolder.php', a ação de atualização de pasta 'a=update' modifica metadados da pasta, como título, descrição e sinalizadores de público/galeria, sem executar a função cot check xg() para validar o token anti-CSRF. Isso permite que um invasor remoto force o navegador de uma vítima a enviar uma solicitação forjada, podendo alterar pastas privadas para públicas.

Recomendações Para a versão 1.0.0, implemente uma chamada para a função cot check xg() dentro da ação 'a=update' em 'modules/pfs/inc/pfs.editfolder.php' para validar o token anti-CSRF antes de atualizar os metadados da pasta.