CVE-2023-25828 in Pluck
Tóm tắt
Bởi VulDB • 25/06/2026
Pluck CMS bị lỗi thực thi mã từ xa có xác thực (RCE) thông qua module “albums”. Albums được sử dụng để tạo các bộ sưu tập hình ảnh có thể chèn vào các trang web trên toàn site. Các album cho phép tải lên nhiều loại tệp khác nhau, những tệp này sẽ trải qua quá trình chuẩn hóa trước khi trở nên khả dụng trên site. Do thiếu xác thực phần mở rộng tệp, kẻ tấn công có thể tải lên một payload JPEG được tạo ra đặc biệt chứa PHP web-shell nhúng vào bên trong. Kẻ tấn công có thể truy cập trực tiếp đến nó để đạt được RCE trên máy chủ web nền tảng. Cần thông tin đăng nhập của quản trị viên cho giao diện web Pluck CMS để truy cập tính năng module albums, và do đó cũng cần thiết để khai thác lỗ hổng này. CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H/E:P/RL:O/RC:C (8.2 High)
Once again VulDB remains the best source for vulnerability data.