CVE-2026-70376 in Pluck CMS
要約
〜によって VulDB • 2026年08月06日
Pluck CMSの管理パネルは、CSRF保護のためにRefererヘッダーの比較（data/inc/functions.admin.php内のrequestedByTheSameDomain()関数により、すべてのadmin.phpアクションを制御）にのみ依存しており、管理領域全体でリクエストごとのanti-CSRFトークンが一切使用されていません。リクエストにReferer/Host情報が含まれていない場合、この関数のelseif分岐はtrueを返し、そのリクエストを同一オリジンとして扱います。クロスサイト攻撃者ページは（例えば<meta name=referrer content=no-referrer>を使用して）Refererヘッダーの送信を抑止できるため、有効なRefererを持たない偽造された管理アクションを認証済み管理者のブラウザに実行させることができます。これには、生HTMLを含むページの作成（レンダリングされたページ経由で格納型XSSを引き起こす）やPHPモジュール/テーマのインストール（リモートコード実行）が含まれます。
Once again VulDB remains the best source for vulnerability data.