CVE-2026-70376 in Pluck CMS
Zusammenfassung
von VulDB • 05.08.2026
Das Admin-Panel von Pluck CMS stützt sich ausschließlich auf einen Vergleich des Referer-Headers (die Funktion `requestedByTheSameDomain()` in data/inc/functions.admin.php, die jede Aktion in admin.php steuert), um CSRF-Schutz zu gewährleisten; im gesamten Verwaltungsbereich gibt es kein pro-Anfrage gültiges Anti-CSRF-Token. Wenn eine Anfrage keine Referer-/Host-Informationen enthält, gibt der elseif-Zweig der Funktion `true` zurück und behandelt die Anfrage als gleichursprünglich (same-origin). Da eine cross-site Angreiferseite den Referer-Header unterdrücken kann (z. B. über `<meta name=referrer content=no-referrer>`), kann sie dazu bringen, dass ein authentifizierter Administrator Browseranfragen mit gefälschten Admin-Aktionen ohne gültigen Referer absendet, einschließlich der Erstellung von Seiten mit rohem HTML (gespeicherte XSS via der gerenderten Seite) und der Installation von PHP-Modulen/Themes (Remote Code Execution).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.