CVE-2026-72574
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Podatność polegająca na wstrzyknięciu nagłówka Host w Pico do wersji 2.1.4. Nieuwierzytelniony zdalny atakujący może kontrolować pochodzenie zasobów JavaScript i CSS ładowanych przez domyślny motyw, gdy base_url nie jest ustawiony.
Ocena ryzyka
Atakujący może podmienić adresy zasobów, co może prowadzić do wstrzyknięcia złośliwego kodu lub kradzieży danych.
Rekomendacja
Zaktualizuj Pico do najnowszej wersji lub jawnie ustaw base_url w konfiguracji.
Oryginalny opis (angielski, źródło NVD)
A host header injection vulnerability in picocms/Pico through 2.1.4 allows an unauthenticated remote attacker to control the origin of JavaScript and CSS assets loaded by the default theme. When base_url is unset (the default), Pico::getBaseUrl in lib/Pico.php builds the base URL from unvalidated Host, X-Forwarded-Host, X-Forwarded-Proto, and X-Forwarded-Port request headers.