CVE-2026-70376criticalCWE-352

CVE-2026-70376: falha crítica em pluck-cms Pluck CMS

Pluck CMS - CSRF via Spoofable Missing-Referer Bypass Leads to Stored XSS and RCE

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar Pluck CMS

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

48Vexday Risk Score

Sem sinal de exploração. Ela tem prova de conceito pública.

ssvc Attendcvss 9.6epss 0.2%
da publicação à arma7 dias
Publicada no NVD5 de ago.
1ª PoC+7d
Pluck CMS's admin panel relies solely on a Referer-header comparison (requestedByTheSameDomain in data/inc/functions.admin.php, gating every admin.php action) for CSRF protection, with no per-request anti-CSRF token anywhere in the admin area.
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H
Produtos afetados
pluck-cms · Pluck CMS
⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.
CVEs relacionadas — pluck-cms Pluck CMS

No mesmo produto, das mais perigosas para as menos.

CVE-2026-54416HIGHPluck CMS - Unrestricted File Upload via Missing .php8 Extension in Upload BlacklistEPSS 0.5%