یک آسیب‌پذیری از نوع Reflected Cross-Site Scripting (XSS) در نرم‌افزار Cotonti (نسخه‌های تا ۱.۰.۰) شناسایی شده است که با شناسه CVE-2026-100521 ثبت شده است.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی در پارامتر highlight مربوط به پلاگین جستجو (Search Plugin) رخ می‌دهد. دلیل بروز این مشکل، عدم اجرای عملیات Escaping برای کدهای HTML و JavaScript در این پارامتر است. در نتیجه، ورودی‌های کاربر بدون بررسی و پاک‌سازی به مرورگر بازگردانده می‌شوند.
سناریوی حمله
- عامل تهدید می‌تواند لینک‌های مخربی را طراحی کند که حاوی کدهای JavaScript تزریق شده در پارامتر
highlightباشد. - در صورتی که هر کاربری (از جمله مدیران سیستم یا Administrators) روی این لینک کلیک کند، کدهای مخرب مستقیماً در مرورگر کاربر اجرا خواهند شد.
تأثیرات احتمالی
حملات XSS می‌توانند منجر به سرقت Session Cookies، تغییر محتوای صفحه (Defacement) یا هدایت کاربران به صفحات جعلی برای سرقت اطلاعات حساس شوند.
