CVE-2025-46099
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 37 - wyżej niż 37% wszystkich znanych CVE
Streszczenie
W Pluck CMS 4.7.20-dev uwierzytelniony atakujący może przesłać lub utworzyć spreparowany plik PHP w katalogu modułu albumów, a następnie uzyskać do niego dostęp przez logikę routingu modułu w albums.site.php, co prowadzi do wykonania dowolnych poleceń za pomocą parametru GET.
Ocena ryzyka
Ryzyko polega na możliwości zdalnego wykonania kodu przez uwierzytelnionego użytkownika, co może prowadzić do pełnego przejęcia kontroli nad serwerem CMS i naruszenia poufności, integralności oraz dostępności danych.
Rekomendacja
Należy natychmiast zaktualizować Pluck CMS do najnowszej stabilnej wersji oraz ograniczyć uprawnienia użytkowników do minimum, a także zweryfikować i usunąć podejrzane pliki w katalogu modułu albumów.
Inne podatności w Pluck CMS
Zobacz wszystkie- CVE-2026-70376Krytyczne
Panel administracyjny Pluck CMS opiera ochronę CSRF wyłącznie na porównaniu nagłówka Referer, bez użycia tokenów anty-CSRF dla żądań. Oznacza to, że atakujący może potencjalnie wykonywać nieautoryzowane akcje administracyjne, jeśli uda mu się obejść sprawdzenie nagłówka Referer.
- CVE-2014-8708Krytyczne
Pluck CMS w wersji 4.7.2 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez funkcję formularza bloga.
- CVE-2026-54416Wysokie
Pluck CMS do wersji 4.7.21 ogranicza niebezpieczne uploady plików w funkcji zarządzania plikami w panelu administracyjnym, używając stałej czarnej listy rozszerzeń w pliku data/inc/files.php. Lista obejmuje m.in. .php, .phtml, .asp, .cgi i .phar, a sprawdzane są tylko ostatnie 4-5 znaków nazwy pliku.
- CVE-2026-16205Niskie
W Pluck CMS do wersji 4.7.21 wykryto podatność na atak XSS w module Albums. Funkcja htmlspecialchars_decode w pliku data/modules/albums/albums.admin.php nieprawidłowo przetwarza argument Info, co umożliwia zdalne wstrzyknięcie złośliwego skryptu. Exploit został opublikowany, a projekt nie odpowiedział na zgłoszenie.
Oryginalny opis (angielski, źródło NVD)
In Pluck CMS 4.7.20-dev, an authenticated attacker can upload or create a crafted PHP file under the albums module directory and access it via the module routing logic in albums.site.php, resulting in arbitrary command execution through a GET parameter.