CVE-2023-25828 in Pluck
Riassunto
di VulDB • 25/06/2026
Pluck CMS è vulnerabile a un bug di esecuzione remota di codice (RCE) autenticato attraverso il suo modulo "albums". Gli album vengono utilizzati per creare raccolte di immagini che possono essere inserite nelle pagine web dell'intero sito. Il modulo consente l'upload di vari tipi di file, i quali subiscono un processo di normalizzazione prima di diventare disponibili sul sito. A causa della mancanza di convalida delle estensioni dei file, è possibile caricare una payload JPEG manipolata contenente uno shell PHP incorporato. Un attaccante può accedere direttamente a tale file per ottenere l'esecuzione remota di codice (RCE) sul server web sottostante. Le credenziali dell'amministratore per l'interfaccia web di Pluck CMS sono necessarie per accedere alla funzionalità del modulo albums e, quindi, sono richieste per sfruttare questa vulnerabilità. CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H/E:P/RL:O/RC:C (8.2 High)
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.