CVE-2026-38192

pluck-CMS-4.7.20-code-injection-vulnerability 在 admin.php 中，moduleaddtosite 函数会遍历整个 $POST 数组，使用 explode'|', ... 分割用户可控的参数名，并将其直接拼接进 data/settings/themes//moduleconf.php 文件中。该文件随后会被包含到后台页面和前端 themearea 渲染过程中。由于参数名未经过白名单验证和安全转义，攻击者可以污染可执行的 PHP 文件，从而导致代码注入漏洞。 项目地址：https://github.com/pluck-cms/pluck/...