CVE-2026-38192

pluck-CMS-4.7.20-code-injection-vulnerability admin.php의 moduleaddtosite 함수는 $POST 배열 전체를 반복하며, explode'|', ...를 사용하여 사용자가 제어할 수 있는 매개변수 이름을 분할한 후 이를 data/settings/themes//moduleconf.php에 직접 연결합니다. 이 파일은 이후 백엔드 페이지와 프론트엔드 themearea 렌더링 과정에 포함됩니다. 매개변수 이름이 화이트리스트 검증과 보안 이스케이프를 거치지 않았기 때문에, 공격자는 실행...