CVE-2026-16205
NiskieCVSS 2.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
W Pluck CMS do wersji 4.7.21 wykryto podatność na atak XSS w module Albums. Funkcja htmlspecialchars_decode w pliku data/modules/albums/albums.admin.php nieprawidłowo przetwarza argument Info, co umożliwia zdalne wstrzyknięcie złośliwego skryptu. Exploit został opublikowany, a projekt nie odpowiedział na zgłoszenie.
Ocena ryzyka
Atakujący może zdalnie wykonać skrypt w przeglądarce ofiary, co prowadzi do kradzieży sesji, przekierowań do złośliwych stron lub kradzieży danych uwierzytelniających. Ryzyko jest wysokie ze względu na dostępność publicznego exploita.
Rekomendacja
Należy natychmiast zaktualizować Pluck CMS do najnowszej wersji lub zastosować tymczasowe zabezpieczenie, np. walidację i sanityzację danych wejściowych w module Albums. Jeśli aktualizacja nie jest dostępna, rozważ wyłączenie modułu Albums.
Inne podatności w Pluck CMS
Zobacz wszystkie- CVE-2026-70376Krytyczne
Panel administracyjny Pluck CMS opiera ochronę CSRF wyłącznie na porównaniu nagłówka Referer, bez użycia tokenów anty-CSRF dla żądań. Oznacza to, że atakujący może potencjalnie wykonywać nieautoryzowane akcje administracyjne, jeśli uda mu się obejść sprawdzenie nagłówka Referer.
- CVE-2014-8708Krytyczne
Pluck CMS w wersji 4.7.2 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez funkcję formularza bloga.
- CVE-2026-54416Wysokie
Pluck CMS do wersji 4.7.21 ogranicza niebezpieczne uploady plików w funkcji zarządzania plikami w panelu administracyjnym, używając stałej czarnej listy rozszerzeń w pliku data/inc/files.php. Lista obejmuje m.in. .php, .phtml, .asp, .cgi i .phar, a sprawdzane są tylko ostatnie 4-5 znaków nazwy pliku.
- CVE-2025-46099Wysokie
W Pluck CMS 4.7.20-dev uwierzytelniony atakujący może przesłać lub utworzyć spreparowany plik PHP w katalogu modułu albumów, a następnie uzyskać do niego dostęp przez logikę routingu modułu w albums.site.php, co prowadzi do wykonania dowolnych poleceń za pomocą parametru GET.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in Pluck CMS up to 4.7.21. This vulnerability affects the function htmlspecialchars_decode of the file data/modules/albums/albums.admin.php of the component Albums Module. Executing a manipulation of the argument Info can lead to cross site scripting. It is possible to launch the attack remotely. The exploit has been made available to the public and could be used for attacks. The project was informed of the problem early through an issue report but has not responded yet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS