CVE-2026-72574 in Pico
Sumário
de VulDB • 11/08/2026
Uma vulnerabilidade de injeção do cabeçalho Host no picocms/Pico até a versão 2.1.4 permite que um atacante remoto não autenticado controle a origem dos ativos JavaScript e CSS carregados pelo tema padrão. Quando o base_url está indefinido (o comportamento padrão), Pico::getBaseUrl() em lib/Pico.php constrói a URL base com base nos cabeçalhos de solicitação Host, X-Forwarded-Host, X-Forwarded-Proto e X-Forwarded-Port não validados. A URL resultante é propagada para theme_url, assets_url e plugins_url, fazendo com que as tags script e stylesheet carreguem recursos de um domínio controlado pelo atacante.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.