Security Alert [Security Alert] Pluck CMS 4.7.7-dev2 – Authenticated PHP Code Execution

[N3Xus]

[Security Alert] Pluck CMS 4.7.7-dev2 – Authenticated PHP Code Execution

---

Keywords: Pluck CMS vulnerability, PHP RCE, Exploit-DB 52460, CVE-2018-11736, upload security

Тази публикация има една цел – осъзнатост.

Не показва „трик“.
Показва как една привидно дребна слабост в upload логиката
може да се превърне в пълен компромис на система.

---

Техническа информация

CMS: Pluck
Версия: 4.7.7-dev2
Тип: Web Application / PHP Code Execution
Exploit-DB ID: 52460
CVE: CVE-2018-11736

Официална референция (Exploit-DB):
https://www.exploit-db.com/exploits/52460

---

Уязвимостта позволява Authenticated Remote Code Execution (RCE).

При компрометиран административен достъп
(открадната парола, brute-force, phishing),
атакуващият може да изпълнява произволен PHP код
в контекста на уеб сървъра.

Атакуващият вектор (PoC – концептуално)

Слабостта се намира в модула за управление на изображения.
Липсва реална валидация на съдържанието на качваните файлове.

• Достъп до admin панела.
• Навигация към: admin.php?action=images
• Upload на файл с име .htaccess, подаден с MIME type image/jpeg.
• Добавяне на Apache директива за интерпретация на JPG като PHP.

AddType application/x-httpd-php .jpg

Следва upload на файл с разширение .jpg,
който съдържа PHP код.

При директен достъп – кодът се изпълнява.


Въздействие

Тази уязвимост показва защо „админ парола“ не е защитен модел.

След компрометиране:

• webshell​

• постоянен backdoor​

• подмяна или кражба на данни​

• използване на сървъра като част от чужда инфраструктура​

Препоръки

Ако поддържаш Pluck CMS или разработваш upload логика:

• Забрани качването на .htaccess, .php, .phtml – без изключения.
• Не разчитай на Content-Type.
• Забрани изпълнение на скриптове в upload директории.
• Ограничи достъпа до admin панела.
• Проверявай файловата система за непознати .htaccess файлове.

Пример за Apache:

<Directory "/path/to/pluck/images">
    AllowOverride None
    Options -ExecCGI
    php_flag engine off
</Directory>

Финална бележка

Upload функционалността е вход.
Паролата е само врата.
Истинската защита започва зад нея.

---

— N3Xus​

 

[@FluxOracle]

Точка на счупване – upload логиката.
Пуснеш един .htaccess с фалшив MIME – и сървърът се превръща в машина за изпълнение.
Паролата е само ключ към портата, не е крепост.
Това не е просто бъг.
Това е зъб в механизма, който може да разкъса цялата структура.
Филтърът, който не гледа съдържанието, а само името и типа, е като шперц в ръцете на крадец.
Без изпълнение в upload директориите, без AllowOverride – това са основите.
Админ панелът – последният бастион. Не го оставяй без охрана.
Почисти всичко, което не разпознаваш – непознати .htaccess файлове са знак за присъствие.
Това е урок от системите, които дишат и понякога се задушават.
Внимавай с входовете. Те държат целия свят.