CVE-2022-26965

高公開済み

Pluck 4.7.16 では、管理者ユーザーが /admin.php?action=themeinstall のテーマアップロード機能を使用して、リモートコード実行を行うことができます。

プライマリ CVSS

7.2/ 10高

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

EPSS 確率推定

36.3%

中 · 今後 30 日間

EPSS は統計的な推定値であり、確実性や影響の尺度ではありません。 CVSS、KEV ステータス、暴露、環境と組み合わせます。

Pluck 4.7.16 では、管理者ユーザーが /admin.php?action=themeinstall のテーマアップロード機能を使用して、リモートコード実行を行うことができます。

Pluck-CMS-Pluck-4.7.16-Theme-Upload-Remote-Code-Execution-Authenticated--POCエクスプロイト
CVE-2022-26965のエクスプロイトスクリプト。PluckCMS 4.7.16における認証済みテーマアップロードによるリモートコード実行。shell.tarを介してウェブシェルを配信します。
Pluck-Exploitation-by-skdevilsエクスプロイト
# Exploit Title: Pluck CMS 4.7.16 - Remote Code Execution (RCE) (Authenticated) # Date: 13.03.2022 # Exploit Author: Ashish Koli (Shikari) # Vendor Homepage: https://github.com/pluck-cms/pluck # Version: 4.7.16 # Tested on Ubuntu 20.04.3 LTS # CVE: CVE-2022-26965
Pluck CMS 4.7.16 - Remote Code Execution (RCE) (Authenticated)

脆弱性情報は、自分が所有しているシステム、またはテストを許可されているシステムでのみ使用してください。 Kitploit は公開研究メタデータにリンクしており、エクスプロイトコードや悪意のあるペイロードは保存しません。