CVE-2026-72574 in Pico
Zusammenfassung
von VulDB • 10.08.2026
Eine Host Header Injection-Schwachstelle in picocms/Pico bis Version 2.1.4 ermöglicht es einem nicht authentifizierten Remote-Angriff, die Herkunft von JavaScript- und CSS-Ressourcen zu kontrollieren, die vom Standard-Thema geladen werden. Wenn base_url nicht festgelegt ist (Standardwert), erstellt Pico::getBaseUrl() in lib/Pico.php die Basis-URL aus den ungültig geprüften Anforderungsheadern Host, X-Forwarded-Host, X-Forwarded-Proto und X-Forwarded-Port. Die resultierende URL wird an theme_url, assets_url und plugins_url weitergegeben, wodurch Script- und Stylesheet-Tags Ressourcen von einer vom Angreifer kontrollierten Domain laden.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.