CVE-2026-70376 in Pluck CMS
الملخص
بحسب VulDB • 05/08/2026
تعتمد لوحة تحكم Pluck CMS للحماية من هجمات تزوير الطلبات عبر المواقع المتعددة (CSRF) بشكل حصري على مقارنة رأس "Referer" (دالة `requestedByTheSameDomain()` الموجودة في الملف `data/inc/functions.admin.php`، والتي تشترط لكل إجراء في `admin.php`)، دون وجود أي رمز مضاد لـ CSRF خاص بكل طلب في منطقة الإدارة. عندما لا يحمل الطلب معلومات عن الـ Referer أو Host، فإن فرع الشرط `elseif` للدالة يعيد القيمة "صحيح" (true)، مما يتسبب في اعتبار الطلب من نفس المصدر. ونظراً لأن صفحة مهاجم عبر المواقع يمكنها كبت رأس الـ Referer (على سبيل المثال، باستخدام `<meta name=referrer content=no-referrer>`)، فإنه بإمكانه إجبار متصفح مدير معتمد على إرسال إجراءات إدارية مزورة دون وجود مرجع صالح للطلب، بما في ذلك إنشاء صفحات تحتوي على HTML خام (ثغرة حقن النص عبر المواقع المخزنة Stored XSS من خلال الصفحة المعروضة) وتثبيت وحدات/قوالب PHP (تنفيذ عن بعد للكود Remote Code Execution).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.