Podatności Pluck CMS
5 znanych podatności CVE w Pluck CMS, przetłumaczonych i ocenionych.
- CVE-2026-70376Krytyczne
Panel administracyjny Pluck CMS opiera ochronę CSRF wyłącznie na porównaniu nagłówka Referer, bez użycia tokenów anty-CSRF dla żądań. Oznacza to, że atakujący może potencjalnie wykonywać nieautoryzowane akcje administracyjne, jeśli uda mu się obejść sprawdzenie nagłówka Referer.
- CVE-2014-8708Krytyczne
Pluck CMS w wersji 4.7.2 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez funkcję formularza bloga.
- CVE-2026-54416Wysokie
Pluck CMS do wersji 4.7.21 ogranicza niebezpieczne uploady plików w funkcji zarządzania plikami w panelu administracyjnym, używając stałej czarnej listy rozszerzeń w pliku data/inc/files.php. Lista obejmuje m.in. .php, .phtml, .asp, .cgi i .phar, a sprawdzane są tylko ostatnie 4-5 znaków nazwy pliku.
- CVE-2026-16205Niskie
W Pluck CMS do wersji 4.7.21 wykryto podatność na atak XSS w module Albums. Funkcja htmlspecialchars_decode w pliku data/modules/albums/albums.admin.php nieprawidłowo przetwarza argument Info, co umożliwia zdalne wstrzyknięcie złośliwego skryptu. Exploit został opublikowany, a projekt nie odpowiedział na zgłoszenie.
- CVE-2025-46099Wysokie
W Pluck CMS 4.7.20-dev uwierzytelniony atakujący może przesłać lub utworzyć spreparowany plik PHP w katalogu modułu albumów, a następnie uzyskać do niego dostęp przez logikę routingu modułu w albums.site.php, co prowadzi do wykonania dowolnych poleceń za pomocą parametru GET.