CVE-2026-55742: CSRF no gerenciador de permissões administrativas do Cotonti 1.0.0
O CVE-2026-55742 é uma falha de Cross-Site Request Forgery no gerenciador de permissões administrativas do CMS Cotonti. A ação de atualização de direitos altera permissões de grupos sem validar o token anti-CSRF, permitindo que um administrador autenticado seja induzido a modificar permissões. A CNA classifica a falha como crítica, com pontuação CVSS 3.1 de 9,6.
Visão geral
O CVE-2026-55742 é uma vulnerabilidade de Cross-Site Request Forgery (CSRF, CWE-352) no Cotonti, um framework de gerenciamento de conteúdo em PHP de código aberto. Segundo o registro, o Cotonti 1.0.0 na branch master, commit f43f1fc3, possui no gerenciador de permissões administrativas (system/admin/admin.rights.php) uma ação de atualização de direitos que altera as permissões de grupos, inclusive por meio de cot_auth_add_group, sem chamar cot_check_xg, a função responsável por validar o token anti-CSRF. O trecho de código relevante está referenciado no repositório do Cotonti.
Impacto
A CNA atribuiu pontuação base CVSS 3.1 de 9,6 (crítica), com vetor AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H, além de pontuação CVSS 4.0 de 9,4. O atacante não precisa de privilégios, mas é necessária interação do usuário: um administrador autenticado precisa ser levado a acessar conteúdo controlado pelo atacante enquanto mantém a sessão ativa. Nesse cenário, o navegador poderia enviar uma requisição forjada de atualização de direitos, modificando permissões de grupos. Como essas permissões definem o que cada grupo pode fazer, uma alteração indevida poderia conceder privilégios amplos a contas ou grupos sob controle do atacante, o que justifica os impactos altos em confidencialidade, integridade e disponibilidade.
Produtos e versões afetados
- Cotonti 1.0.0, branch master, commit f43f1fc3 (conforme a descrição)
O registro não traz lista estruturada de faixas de versões afetadas nem versão corrigida. Outras compilações que compartilhem o mesmo código podem ser afetadas, mas isso não é confirmado pelas fontes.
Status de exploração
A vulnerabilidade não consta do catálogo Known Exploited Vulnerabilities da CISA, e não há exploração confirmada nas fontes consultadas. O registro não traz pontuação EPSS.
Correção e mitigação
- Acompanhe o repositório do Cotonti no GitHub em busca de commit ou release que adicione a validação do token anti-CSRF à ação de atualização de direitos, e atualize assim que disponível.
- Administradores devem evitar navegar em sites não confiáveis na mesma sessão usada para administrar o Cotonti e encerrar a sessão do painel quando não estiverem usando.
- Restrinja o acesso à área administrativa (por exemplo, com lista de IPs permitidos ou VPN).
- Em forks mantidos internamente, revise as ações administrativas que alteram estado para garantir a validação do token anti-CSRF.
- Considere o atributo SameSite nos cookies de sessão como defesa em profundidade.
Orientações de detecção
- Analise os logs do servidor web em busca de requisições de atualização de direitos ao gerenciador de permissões com cabeçalho Referer apontando para domínios externos ou ausente de forma inesperada.
- Audite periodicamente as permissões dos grupos, comparando-as com uma linha de base aprovada, e investigue concessões inesperadas.
- Gere alertas para alterações em permissões de grupos administrativos ou privilegiados.
Limitações das informações disponíveis
O status no NVD é Deferred. O registro não informa faixas de versões afetadas, versão corrigida nem commit de correção, e não contém dados de EPSS ou SSVC. Não se sabe se outras versões do Cotonti são afetadas. A ausência de correção no registro não significa que ela não exista; consulte o projeto upstream.
Perguntas frequentes
O que é o CVE-2026-55742?
Uma falha de Cross-Site Request Forgery no Cotonti 1.0.0 em que a ação de atualização de direitos administrativos altera permissões de grupos sem validar o token anti-CSRF por meio de cot_check_xg.
O CVE-2026-55742 está sendo explorado?
Ele não consta do catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas.
Existe versão corrigida?
O registro não informa versão corrigida nem patch. Acompanhe o repositório do Cotonti no GitHub; enquanto isso, restrinja o acesso administrativo e evite navegar em sites não confiáveis com sessão de administrador ativa.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.