PT-2021-10155 · Pluck Cms · Pluck Cms

China-Eugene · Publicado 2021-05-17 · Atualizado 2021-05-24 · CVE-2020-18198

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

**Nome do software vulnerável e versões afetadas:

Pluck CMS versão 4.7.9

Descrição:

A vulnerabilidade permite que invasores remotos executem código arbitrário e excluam imagens específicas por meio do componente “/admin.php?action=images”. Trata-se de uma vulnerabilidade do tipo Cross Site Request Forgery (CSRF).

Recomendações:

Para o Pluck CMS versão 4.7.9, como solução temporária, considere restringir o acesso ao componente “/admin.php?action=images” até que uma correção esteja disponível. Evite usar este componente em cenários onde ataques CSRF sejam possíveis. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

RCE

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2020-18198

Produtos afetados

Pluck Cms

Referências · 5

• 🔥 https://github.com/pluck-cms/pluck/issues/69 · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2020-18198 · Nota de Segurança
• https://t.me/cvenotify/14942 · Publicação no Telegram
• https://t.me/cvenotify/14556 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2020-18198 · Aviso do Fabricante