CVE-2026-58143

Nome do Software Vulnerável e Versões Afetadas Cotonti Siena versões anteriores a 0.9.27

Descrição Um problema de falsificação de solicitação cross-site (CSRF) existe onde atacantes não autenticados podem modificar configurações do administrador. Isso ocorre porque o manipulador de atualização de configuração admin.php não invoca a função de validação CSRF da aplicação. Ao enganar um administrador conectado para enviar uma solicitação POST forjada, um atacante pode definir a variável pfsfilecheck como 0. Esta ação desativa a lista branca de extensões de arquivo do módulo Perfect Forward Secrecy (PFS), permitindo que qualquer usuário com acesso ao PFS faça o upload e execute arquivos PHP arbitrários no servidor.

Recomendações Atualize o Cotonti Siena para uma versão posterior à 0.9.26. Restrinja o acesso ao manipulador de atualização de configuração admin.php para minimizar o risco de exploração.