PT-2026-68036
CVE-2026-70376
·
تاريخ النشر
2026-08-05
·
تاريخ التحديث
2026-08-29
الوصف من
CVSS 3.1
9.6
حرجةالمقاييسAV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
Pluck CMS (لم يتم تحديد الإصدارات المتأثرة)
الوصف
تفتقر لوحة الإدارة إلى الرموز المميزة لمكافحة CSRF لكل طلب، وتعتمد حصريًّا على مقارنة رأس Referer داخل الدالة
requestedByTheSameDomain() الموجودة في ملف data/inc/functions.admin.php لحماية الإجراءات في ملف admin.php. إذا تم إرسال طلب بدون معلومات Referer أو Host، فإن النظام يعامله بشكل خاطئ على أنه طلب من نفس المصدر. يمكن للمهاجم تجاوز هذا الفحص عن طريق إخفاء رأس Referer، مما يسمح له بإجبار مسؤول معتمد على تنفيذ إجراءات غير مصرح بها. قد يؤدي هذا إلى حدوث هجوم Cross-Site Scripting (XSS) المخزن من خلال إنشاء صفحات تحتوي على HTML خام أو تنفيذ التعليمات البرمجية عن بُعد (RCE) عبر تثبيت وحدات PHP وسمات خبيثة.التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾