CVE-2024-9405

O Pluck CMS tem uma falha de path traversal que permite a um atacante não autenticado ler arquivos por meio de um caminho absoluto, mas o aviso é franco sobre seus limites: alcança arquivos no mesmo diretório ou subdiretório do módulo, não recursivamente pelo sistema de arquivos. Então é uma divulgação limitada — real, não autenticada, mas restrita no que de fato consegue extrair.

Essa fronteira mantém isto em território moderado. Traversal não autenticado convida à varredura, e a divulgação pode expor um arquivo útil, mas a limitação de não ser recursivo significa que não é a primitiva ampla de ler-qualquer-arquivo que torna bugs de traversal perigosos. Seu valor para um atacante é oportunista — qualquer arquivo sensível que por acaso esteja perto do módulo — em vez de um caminho confiável para segredos em qualquer lugar do disco.

Classificamos isto em linha com seu impacto restrito e o tratamos por meio de consciência de exposição. A verificação é se alguma instância do Pluck CMS é alcançável pela internet, já que é aí que um vazamento não autenticado importa, e depois atualizá-la no ciclo normal. Onde o patch imediato atrasar, uma regra de proxy bloqueando sequências de traversal é um paliativo barato, mas o escopo limitado significa que isto não passa à frente dos bugs de divulgação de maior impacto do lote.