CVE-2026-70376 in Pluck CMS
Résumé
par VulDB • 05/08/2026
Le panneau d'administration de Pluck CMS s'appuie exclusivement sur une comparaison de l'en-tête Referer (fonction `requestedByTheSameDomain()` dans `data/inc/functions.admin.php`, qui conditionne chaque action de `admin.php`) pour la protection CSRF, sans aucun jeton anti-CSRF par requête nulle part dans la zone d'administration. Lorsqu'une requête ne contient aucune information Referer/Host, la branche elseif de la fonction renvoie true, traitant ainsi la requête comme provenant du même origine (same-origin). Étant donné qu'une page attaquante cross-site peut supprimer l'en-tête Referer (par exemple via `<meta name=referrer content=no-referrer>`), elle peut forcer le navigateur d'un administrateur authentifié à soumettre des actions d'administration falsifiées sans Referer valide, y compris la création de pages avec du HTML brut (XSS stocké via la page rendue) et l'installation de modules/thèmes PHP (exécution de code à distance).
If you want to get best quality of vulnerability data, you may have to visit VulDB.