CVE-2026-54416

Nome do Software Vulnerável e Versões Afetadas Pluck CMS versões anteriores a 4.7.22

Descrição O recurso de gerenciamento de arquivos do administrador não restringe adequadamente o upload de arquivos perigosos. O sistema utiliza uma lista negra fixa em data/inc/files.php que verifica os últimos 4-5 caracteres de um nome de arquivo, mas omite a extensão .php8. Um administrador autenticado pode fazer o upload de um arquivo com a extensão .php8, que é armazenado sem modificações. Em servidores que executam PHP 8.x, o servidor web executa este arquivo como PHP, resultando em execução remota de código.

Recomendações Atualize o Pluck CMS para a versão 4.7.22 ou posterior. Como mitigação temporária, restrinja o acesso ao recurso de gerenciamento de arquivos do administrador ou garanta que o servidor não esteja executando PHP 8.x.