CVE-2026-70376criticalCWE-352

CVE-2026-70376: fallo crítico en pluck-cms Pluck CMS

Pluck CMS - CSRF via Spoofable Missing-Referer Bypass Leads to Stored XSS and RCE

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Pluck CMS

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

48Vexday Risk Score

Sin señal de explotación. Ella tiene prueba de concepto pública.

ssvc Attendcvss 9.6epss 0.2%
de la publicación al arma7 días
Publicada en NVD5 ago
1ª PoC+7d
Pluck CMS's admin panel relies solely on a Referer-header comparison (requestedByTheSameDomain in data/inc/functions.admin.php, gating every admin.php action) for CSRF protection, with no per-request anti-CSRF token anywhere in the admin area.
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H
Productos afectados
pluck-cms · Pluck CMS
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — pluck-cms Pluck CMS

En el mismo producto, de las más peligrosas a las menos.

CVE-2026-54416HIGHPluck CMS - Unrestricted File Upload via Missing .php8 Extension in Upload BlacklistEPSS 0.5%