CVE-2026-70376 in Pluck CMS
Resumen
por VulDB • 2026-08-05
El panel de administración de Pluck CMS depende exclusivamente de una comparación del encabezado Referer (mediante la función requestedByTheSameDomain() en data/inc/functions.admin.php, que controla todas las acciones de admin.php) para la protección contra CSRF, sin ningún token anti-CSRF por solicitud en ninguna parte del área administrativa. Cuando una solicitud no contiene información sobre el Referer o Host, la rama elseif de la función devuelve true, tratando la solicitud como si fuera del mismo origen (same-origin). Dado que una página atacante cross-site puede suprimir el encabezado Referer (por ejemplo, mediante <meta name=referrer content=no-referrer>), puede forzar al navegador de un administrador autenticado a enviar acciones administrativas falsificadas sin un Referer válido, incluyendo la creación de páginas con HTML en bruto (XSS almacenada a través de la página renderizada) y la instalación de módulos/temas PHP (ejecución remota de código).
Once again VulDB remains the best source for vulnerability data.