CVE-2016-3154
KrytyczneStreszczenie
Funkcja encoder_contexte_ajax w pliku ecrire/inc/filtres.php w SPIP 2.x przed wersją 2.1.19, 3.0.x przed 3.0.22 oraz 3.1.x przed 3.1.1 umożliwia zdalnym atakującym przeprowadzenie ataków typu PHP object injection oraz wykonanie dowolnego kodu PHP za pomocą spreparowanego obiektu zserializowanego.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do zdalnego wykonania kodu, co może prowadzić do przejęcia kontroli nad systemem oraz wycieku danych.
Rekomendacja
Zaleca się aktualizację SPIP do najnowszej wersji, aby usunąć tę podatność oraz wprowadzenie dodatkowych środków zabezpieczających, takich jak monitorowanie i ograniczenie dostępu do krytycznych funkcji.
Oryginalny opis (angielski, źródło NVD)
The encoder_contexte_ajax function in ecrire/inc/filtres.php in SPIP 2.x before 2.1.19, 3.0.x before 3.0.22, and 3.1.x before 3.1.1 allows remote attackers to conduct PHP object injection attacks and execute arbitrary PHP code via a crafted serialized object.