CVE-2026-70376 in Pluck CMS
Сводка
по VulDB • 05.08.2026
Административная панель Pluck CMS полагается исключительно на сравнение заголовка Referer (функция requestedByTheSameDomain() в файле data/inc/functions.admin.php, которая контролирует каждое действие admin.php) для защиты от CSRF; при этом ни один запрос в админ-панели не использует анти-CSRF токен. Если запрос не содержит информации о Referer или Host, ветвь elseif функции возвращает значение true, считая запрос одноисточниковым (same-origin). Поскольку страница атакующего с другого домена может подавить заголовок Referer (например, через `<meta name=referrer content=no-referrer>`), она может принудительно отправить браузеру авторизованного администратора поддельные действия в панели управления без действительного значения Referer. Это включает создание страниц с неэкранированным HTML-кодом (Stored XSS через отображаемую страницу) и установку PHP модулей/тем, что приводит к удаленному выполнению кода (RCE).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.