CVE-2026-54416
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
Pluck CMS do wersji 4.7.21 ogranicza niebezpieczne uploady plików w funkcji zarządzania plikami w panelu administracyjnym, używając stałej czarnej listy rozszerzeń w pliku data/inc/files.php. Lista obejmuje m.in. .php, .phtml, .asp, .cgi i .phar, a sprawdzane są tylko ostatnie 4-5 znaków nazwy pliku.
Ocena ryzyka
Ograniczenie oparte na czarnej liście i sprawdzaniu tylko końcówki nazwy może zostać obejść, co może umożliwić atakującemu wgranie złośliwego pliku wykonywalnego na serwer.
Rekomendacja
Zaktualizuj Pluck CMS do najnowszej wersji, jeśli dostępna jest poprawka. Dodatkowo rozważ wdrożenie dodatkowych zabezpieczeń, takich jak walidacja zawartości plików i ograniczenie uprawnień do katalogu uploadów.
Inne podatności w Pluck CMS
Zobacz wszystkie- CVE-2026-70376Krytyczne
Panel administracyjny Pluck CMS opiera ochronę CSRF wyłącznie na porównaniu nagłówka Referer, bez użycia tokenów anty-CSRF dla żądań. Oznacza to, że atakujący może potencjalnie wykonywać nieautoryzowane akcje administracyjne, jeśli uda mu się obejść sprawdzenie nagłówka Referer.
- CVE-2014-8708Krytyczne
Pluck CMS w wersji 4.7.2 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez funkcję formularza bloga.
- CVE-2026-16205Niskie
W Pluck CMS do wersji 4.7.21 wykryto podatność na atak XSS w module Albums. Funkcja htmlspecialchars_decode w pliku data/modules/albums/albums.admin.php nieprawidłowo przetwarza argument Info, co umożliwia zdalne wstrzyknięcie złośliwego skryptu. Exploit został opublikowany, a projekt nie odpowiedział na zgłoszenie.
- CVE-2025-46099Wysokie
W Pluck CMS 4.7.20-dev uwierzytelniony atakujący może przesłać lub utworzyć spreparowany plik PHP w katalogu modułu albumów, a następnie uzyskać do niego dostęp przez logikę routingu modułu w albums.site.php, co prowadzi do wykonania dowolnych poleceń za pomocą parametru GET.
Oryginalny opis (angielski, źródło NVD)
Pluck CMS through 4.7.21 restricts dangerous file uploads in its admin file-management feature using a fixed blacklist in data/inc/files.php ('.php','php3','php4','php5','php6','php7','phtml','.phtm','.pht','.ph3','.ph4','.ph5','.asp','.cgi','.phar'), checked against the last 4-5 characters of the filename.