PT-2026-36805 · Pluck Cms · Pluck Cms

0Xnaka-Hax · Publicado 2026-05-04 · Atualizado 2026-05-04 · CVE-2026-31205

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.7

Média

Vetor base

AV:N/AC:H/PR:H/UI:R/S:U/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas Pluck CMS versões anteriores a 4.7.21dev

Descrição Um problema de Cross Site Scripting permite que um invasor remoto escale privilégios. Isso ocorre por meio do endpoint 'editpage.php' e da função sanitizePageContent().

Recomendações Atualize para a versão 4.7.21dev ou posterior. Como medida paliativa temporária, restrinja o acesso ao endpoint 'editpage.php' ou à função sanitizePageContent() para minimizar o risco de exploração.

Exploit

Correção

LPE

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-31205

Produtos afetados

Pluck Cms

Referências · 8

• 🔥 https://medium.com/@nakah_/pluck-cms-stored-xss-in-page-editor-cve-2026-31205-3b0526743e1d?postPublishedType=initial · Exploit
• https://github.com/pluck-cms/pluck/blob/main/data/inc/editpage.php · Nota
• https://github.com/pluck-cms/pluck/issues/141 · Nota
• https://github.com/pluck-cms/pluck/blob/main/data/inc/functions.all.php#L207 · Nota
• https://twitter.com/VulmonFeeds/status/2051324280630100434 · Publicação no Twitter
• https://twitter.com/infoflowcloud/status/2051337787740164604 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-31205 · Nota de Segurança
• https://twitter.com/CVEnew/status/2051336129832718435 · Publicação no Twitter