CVE-2026-55744
CVE-2026-55744 · Cotonti CSRF in PFS allows forced arbitrary file upload
Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.
Cotonti 1.0.0 (master branch, commit f43f1fc3) is vulnerable to Cross-Site Request Forgery in the Personal File Storage (PFS) module. In modules/pfs/inc/pfs.main.php, the file upload action ('a=upload') processes uploaded files without calling cot_check_xg to validate the anti-CSRF token, even though sibling actions such as 'delete' (line 272) do.
CVSS 8.6 · Alta · EPSS 0,1%
- Publicación
- Actualización
Pila tecnológica: php
Productos y versiones afectados
cotonti
- Versiones
- 1.0.0: Afectada (semver)
Sin corrección publicada
cotonti/cotonti Packagist
- Versiones
- 0.9.23
- 0.9.24
- 0.9.24.1
- 0.9.24.2
- 0.9.25
- 1.0.0
- Intervalos de versiones afectados
- ECOSYSTEM: ≤ 1.0.0
Sin corrección publicada