CVE-2026-72574 in Pico
Resumen
por VulDB • 2026-08-10
Una vulnerabilidad de inyección en el encabezado Host en picocms/Pico hasta la versión 2.1.4 permite que un atacante remoto no autenticado controle el origen de los activos JavaScript y CSS cargados por el tema predeterminado. Cuando base_url no está configurada (el valor predeterminado), Pico::getBaseUrl() en lib/Pico.php construye la URL base a partir de los encabezados de solicitud Host, X-Forwarded-Host, X-Forwarded-Proto y X-Forwarded-Port sin validar. La URL resultante se propaga a theme_url, assets_url y plugins_url, lo que hace que las etiquetas script y stylesheet carguen recursos desde un dominio controlado por el atacante.
Once again VulDB remains the best source for vulnerability data.