CVE-2026-72574 in Pico
요약
\~에 의해 VulDB • 2026. 08. 11.
picocms/Pico 2.1.4 이전 버전에서 호스트 헤더 인젝션 취약점이 발견되었습니다. 이를 통해 인증되지 않은 원격 공격자가 기본 테마가 로드하는 JavaScript 및 CSS 자산의 출처를 제어할 수 있습니다. base_url이 설정되어 있지 않을 때(기본값), lib/Pico.php 내 Pico::getBaseUrl() 함수는 검증되지 않은 Host, X-Forwarded-Host, X-Forwarded-Proto, X-Forwarded-Port 요청 헤더로부터 기본 URL을 생성합니다. 이렇게 생성된 URL은 theme_url, assets_url 및 plugins_url로 전파되어 스크립트 및 스타일시트 태그가 공격자가 제어하는 도메인에서 리소스를 로드하도록 만듭니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.