CVE-2022-26965

ÉlevéPublié

Dans Pluck 4.7.16, un utilisateur administrateur peut utiliser la fonctionnalité de téléversement de thèmes à /admin.php?action=themeinstall pour exécuter...

Publié: 18 mars 2022
Mise à jour: 3 août 2024
Attribution de CNA: mitre
Preuve observée: 16 mars 2022

CVSS primaire

7,2/ 10Élevé

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Estimation de probabilité EPSS

36,3 %

Modéré · 30 prochains jours

Percentile: 98,5 %
Date du modèle: 21 sept. 2026

EPSS est une estimation statistique, et non une certitude ou une mesure d'impact. Combinez-le avec CVSS, le statut KEV, l'exposition et votre environnement.

Résumé

Dans Pluck 4.7.16, un utilisateur administrateur peut utiliser la fonctionnalité de téléversement de thèmes à /admin.php?action=themeinstall pour exécuter du code à distance.

Sources

Pluck-CMS-Pluck-4.7.16-Theme-Upload-Remote-Code-Execution-Authenticated--POCExploit
Script d'exploitation pour CVE-2022-26965 ; exécution de code à distance par téléversement de thème authentifié dans PluckCMS 4.7.16, livrant un webshell via shell.tar.
Pluck-Exploitation-by-skdevilsExploit
# Titre de l'exploit : Pluck CMS 4.7.16 - Exécution de code à distance (RCE) (Authentifié) # Date : 13.03.2022 # Auteur de l'exploit : Ashish Koli (Shikari) # Page d'accueil du fournisseur : https://github.com/pluck-cms/pluck # Version : 4.7.16 # Testé sur Ubuntu 20.04.3 LTS # CVE : CVE-2022-26965
Pluck CMS 4.7.16 - Remote Code Execution (RCE) (Authenticated)

Utilisation responsable

Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.