🚨 Se ha publicado la vulnerabilidad CVE-2026-70376, que afecta a Pluck CMS. Con una puntuación CVSS de 9.6 (CRÍTICA), permite a un atacante remoto eludir la protección CSRF del panel de administración y ejecutar acciones arbitrarias, incluyendo la creación de páginas con HTML sin filtrar (XSS persistente) y la instalación de módulos o temas PHP (ejecución remota de código). Se recomienda revisar el aviso oficial y aplicar la actualización disponible.
Índice
- Resumen ejecutivo
- Qué es la vulnerabilidad
- Productos y versiones vulnerables
- Impacto y riesgo
- Estado de explotación conocida
- Indicadores de compromiso (IOC)
- Cómo comprobar si estás afectado
- Mitigación y actualización
- Checklist para administradores
- Preguntas frecuentes
- Fuentes oficiales
Resumen ejecutivo
| Campo | Valor |
|---|---|
| CVE | CVE-2026-70376 |
| Fabricante | PHP Group |
| Producto | PHP (Pluck CMS) |
| Fecha de publicación | 2026-08-05 |
| Severidad | CRÍTICA |
| CVSS | 9.6 (CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H) |
| Puntuación de prioridad | 222 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
La vulnerabilidad CVE-2026-70376 es un fallo de tipo Cross-Site Request Forgery (CSRF) en el panel de administración de Pluck CMS, un sistema de gestión de contenidos basado en PHP. La protección CSRF se basa únicamente en la comparación de la cabecera Referer mediante la función requestedByTheSameDomain() en el archivo data/inc/functions.admin.php, sin incluir ningún token anti-CSRF por petición.
Cuando una solicitud no incluye la cabecera Referer (por ejemplo, porque una página maliciosa la suprime mediante <meta name="referrer" content="no-referrer">), la función requestedByTheSameDomain() devuelve true en su rama elseif, tratando la petición como si fuera del mismo origen. Esto permite a un atacante remoto, sin autenticación, forzar a un administrador autenticado a ejecutar acciones arbitrarias en el panel de administración, como crear páginas con HTML sin filtrar (lo que permite XSS persistente) o instalar módulos y temas PHP (lo que permite ejecución remota de código).
Productos y versiones vulnerables
Según las fuentes consultadas, las versiones afectadas de Pluck CMS son aquellas anteriores a 4.7.21. No se han publicado datos sobre otras versiones o productos.
| Producto | Versión afectada | Versión corregida |
|---|---|---|
| Pluck CMS | Anteriores a 4.7.21 | 4.7.21 o superior |
Impacto y riesgo
El impacto de esta vulnerabilidad es crítico. Un atacante puede:
- 🔍 XSS persistente: Crear páginas con contenido HTML arbitrario que se ejecutará en el navegador de cualquier visitante, permitiendo robo de sesiones, redirecciones o suplantación.
- 🛡️ Ejecución remota de código: Instalar módulos o temas PHP maliciosos que otorgan control total del servidor.
- ⚠️ Compromiso total de la confidencialidad, integridad y disponibilidad del sistema, según la métrica CVSS (C:H/I:H/A:H).
La puntuación CVSS de 9.6 refleja la facilidad de explotación (sin autenticación, solo interacción del usuario) y el alto impacto en todos los aspectos de seguridad.
Estado de explotación conocida
No publicado por las fuentes consultadas. No se ha confirmado explotación activa en entornos reales. La selección de esta CVE se basa en su publicación reciente y su puntuación CVSS superior a 9.0, no en evidencia de explotación.
Indicadores de compromiso (IOC)
No se han extraído IOC estructurados de las fuentes consultadas. No deben inventarse.
Cómo comprobar si estás afectado
Para determinar si tu instalación de Pluck CMS es vulnerable:
- ✅ Verifica la versión de Pluck CMS instalada. Si es anterior a 4.7.21, estás afectado.
- ✅ Revisa el archivo
data/inc/functions.admin.phppara confirmar si la protección CSRF se basa únicamente en la cabeceraReferer. - ✅ Consulta el repositorio oficial de Pluck CMS en GitHub para obtener más detalles.
Mitigación y actualización
La acción recomendada por las fuentes oficiales es:
Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada.
Se recomienda actualizar a la versión 4.7.21 o superior de Pluck CMS. Como mitigación temporal, se puede implementar un mecanismo de token anti-CSRF por petición en el panel de administración, o restringir el acceso al panel mediante autenticación adicional (por ejemplo, VPN o lista blanca de IP).
Checklist para administradores
- ☐ Identificar la versión de Pluck CMS en uso.
- ☐ Si la versión es anterior a 4.7.21, planificar la actualización inmediata.
- ☐ Revisar los registros de acceso al panel de administración en busca de peticiones sin cabecera Referer.
- ☐ Implementar un firewall de aplicación web (WAF) que bloquee peticiones sin cabecera Referer al panel de administración.
- ☐ Reforzar la autenticación del panel de administración (por ejemplo, con 2FA).
- ☐ Monitorear la aparición de nuevos parches o comunicados oficiales.
Preguntas frecuentes
¿Qué es CVE-2026-70376?
Es una vulnerabilidad crítica de CSRF en Pluck CMS que permite a un atacante eludir la protección del panel de administración y ejecutar acciones arbitrarias.
¿Qué versiones de Pluck CMS están afectadas?
Las versiones anteriores a 4.7.21 están afectadas.
¿Se requiere autenticación para explotar esta vulnerabilidad?
No, el atacante no necesita autenticarse; solo necesita que un administrador autenticado visite una página maliciosa.
¿Existe parche disponible?
Sí, se recomienda actualizar a la versión 4.7.21 o superior.
¿Cómo puedo protegerme si no puedo actualizar inmediatamente?
Como mitigación temporal, restringe el acceso al panel de administración mediante VPN o lista blanca de IP, y considera implementar un WAF.
¿Hay evidencia de explotación activa?
No publicado por las fuentes consultadas. No se ha confirmado explotación activa.