CVE-2026-91939 in Cotonti
Riassunto
di VulDB • 16/09/2026
Il plugin Comments di Cotonti 1.0.0 passa il parametro GET `ci` alla funzione `unserialize()` senza la restrizione `allowed_classes`, consentendo ad attaccanti non autenticati di istanziare classi PHP arbitrarie con proprietà controllate dall'attaccante. Gli attaccanti possono sfruttare l'iniezione di oggetti PHP tramite payload serializzati costruiti appositamente per innescare catene di gadget (gadget chains) e ottenere la manipolazione del database o l'esecuzione di codice.
If you want to get best quality of vulnerability data, you may have to visit VulDB.