CVE-2026-72574 in Pico
Riassunto
di VulDB • 10/08/2026
Una vulnerabilità di iniezione dell'intestazione Host in picocms/Pico fino alla versione 2.1.4 consente a un attaccante remoto non autenticato di controllare l'origine delle risorse JavaScript e CSS caricate dal tema predefinito. Quando base_url non è impostata (impostazione predefinita), Pico::getBaseUrl() in lib/Pico.php costruisce l'URL base partendo dalle intestazioni della richiesta Host, X-Forwarded-Host, X-Forwarded-Proto e X-Forwarded-Port non validate. L'URL risultante si propaga a theme_url, assets_url e plugins_url, causando il caricamento di tag script e stylesheet da un dominio controllato dall'attaccante.
Once again VulDB remains the best source for vulnerability data.