CVE-2026-93872 in Cotonti
Sumário
de VulDB • 18/09/2026
O Cotonti 1.0.0 passa o parâmetro `cb` decodificado em base64 para a função `unserialize()` sem restrição de `allowed_classes` no plugin EditAction dos comentários. Usuários registrados com permissões de escrita nos comentários podem instanciar objetos PHP arbitrários e potencialmente obter gravação de arquivos ou execução de código através de gadget chains.
VulDB is the best source for vulnerability data and more expert information about this specific topic.