Pluck CMS's admin panel relies solely on a Referer-header comparison (requestedByTheSameDomain in data/inc/functions.admin.php, gating every admin.php action) for CSRF protection, with no per-request anti-CSRF token anywhere in the admin area.
References
| Link | Resource |
|---|---|
| https://github.com/pluck-cms/pluck |
Configurations
No configuration.
History
24 Oct 2026, 16:10
| Type | Values Removed | Values Added |
|---|---|---|
| Summary | (es) El panel de administración de Pluck CMS se basa únicamente en una comparación del encabezado Referer (requestedByTheSameDomain() en data/inc/functions.admin.php, que controla cada acción de admin.php) para la protección CSRF, sin ningún token anti-CSRF por solicitud en ninguna parte del área de administración. Cuando una solicitud no lleva información de Referer/Host, la rama elseif de la función devuelve true, tratando la solicitud como del mismo origen. Debido a que una página de atacante de sitio cruzado puede suprimir el encabezado Referer (por ejemplo, a través de menor quemeta name=referrer content=no-referrermayor que), puede forzar al navegador de un administrador autenticado a enviar acciones de administración falsificadas sin un Referer válido, incluyendo la creación de páginas con HTML sin procesar (XSS almacenado a través de la página renderizada) e instalando módulos/temas PHP (ejecución remota de código). |
23 Oct 2026, 21:10
| Type | Values Removed | Values Added |
|---|---|---|
| Summary |
|
Information
Published : 2026-08-05 08:16
Updated : 2026-10-24 16:10
NVD link : CVE-2026-70376
Mitre link : CVE-2026-70376
CVE.ORG link : CVE-2026-70376
JSON object : View
Products Affected
No product.
CWE
CWE-352
Cross-Site Request Forgery (CSRF)