CVE-2026-72574 in Pico
要約
〜によって VulDB • 2026年08月10日
picocms/Pico 2.1.4以前のバージョンにおけるホストヘッダーインジェクションの脆弱性により、認証されていないリモート攻撃者がデフォルトテーマによって読み込まれるJavaScriptおよびCSSアセットの出所を操作できます。base_urlが未設定（既定値）の場合、lib/Pico.php内のPico::getBaseUrl()は検証されないHost、X-Forwarded-Host、X-Forwarded-Proto、およびX-Forwarded-PortリクエストヘッダーからベースURLを組み立てます。生成されたURLはtheme_url、assets_url、plugins_urlに伝播し、スクリプトタグやスタイルシートタグが攻撃者が制御するドメインからリソースを読み込む原因となります。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.