یک آسیب‌پذیری امنیتی از نوع Cross-Site Request Forgery (CSRF) در نرم‌افزار Cotonti (نسخه‌های تا 1.0.0) شناسایی شده است که با شناسه CVE-2026-100524 ثبت گردید.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی در بخش مدیریت افزونه‌ها (Extensions Manager) قرار دارد. به دلیل عدم اعتبارسنجی توکن‌های ضد CSRF (Anti-CSRF Token Validation)، مهاجمان می‌توانند عملیات‌های تغییر وضعیت (State-changing actions) را بدون اجازه کاربر اجرا کنند.
سناریوی حمله
عامل تهدید می‌تواند از طریق طراحی لینک‌های مخرب یا جاسازی تصاویر در صفحات وب، مدیران سیستم را فریب دهد تا در حالی که در پنل مدیریتی احراز هویت شده‌اند، از یک صفحه آلوده بازدید کنند. در صورت موفقیت، مهاجم قادر خواهد بود اقدامات زیر را به صورت غیرمجاز انجام دهد:
- نصب افزونه‌های جدید
- به‌روزرسانی افزونه‌های موجود
- متوقف کردن (Pause) یا فعال‌سازی مجدد (Unpause) افزونه‌ها
