CVE-2017-9736

SPIP w wersji przed 4.4.18 zawiera nieuwierzytelnioną ślepą podatność SQL injection w publicznym punkcie końcowym sitemap. Eskaper MySQL spip_mysql_cite() w ecrire/req/mysql.php zwraca wartości bez escapowania, gdy docelowa kolumna jest typu date, a dostarczona wartość pasuje do wzorca znaku słownego, po którym następuje nawias otwierający. Atakujący może wstrzyknąć dowolny kod SQL przez parametr annee, co umożliwia ślepą iniekcję czasową i boolowską oraz ujawnienie dowolnej zawartości bazy danych, w tym sekretu alea_ephemere używanego do podpisywania nonces akcji.

Wersje SPIP przed 4.4.14 zawierają podatność na zdalne wykonanie kodu w publicznej przestrzeni, ograniczoną do określonych konfiguracji nginx. Umożliwia to atakującym wykonanie dowolnego kodu w kontekście serwera WWW.

Wersje SPIP przed 4.4.14 zawierają podatność na zdalne wykonanie kodu w prywatnej przestrzeni, co pozwala atakującym na wykonanie dowolnego kodu w kontekście serwera WWW.

SPIP w wersji przed 4.4.18 zawiera podatność zdalnego wykonania kodu w akcji editer_objet, gdzie parametr arg rozwiązuje nazwy tabel SQL bez egzekwowania listy dozwolonych edytowalnych kolumn. Atakujący z ważnym nonce może wstrzyknąć kontrolowane wiersze do tabeli spip_jobs, a następnie dostarczyć arg=job/0 ze spreparowanymi wartościami fonction i args, które są deserializowane i wykonywane podczas opróżniania kolejki zadań cron.

SPIP w wersji przed 4.4.18 zawiera podatność braku autoryzacji w punktach końcowych akcji administracyjnych w ecrire/action/, która pozwala nieuwierzytelnionym atakującym na wykonywanie uprzywilejowanych akcji poprzez dostarczenie ważnego nonce HMAC-SHA256 bez żadnej weryfikacji uprawnień po stronie serwera przez autoriser(). Atakujący może uzyskać ważny nonce, obliczyć go dla dowolnej akcji jako użytkownik anonimowy i wywołać akcję editer_auteur bezpośrednio przez HTTP, aby zresetować hasło dowolnego konta użytkownika, w tym administratora.

SPIP przed wersją 4.4.21 pozwala nieuwierzytelnionym zdalnym atakującym na wykonanie dowolnego kodu, co było wykorzystywane w środowisku naturalnym w sierpniu 2026. Problem związany jest z wstrzyknięciem kodu przez nagłówek HTTP X-Spip-Filtre, który jest nieprawidłowo obsługiwany przez funkcję analyse_resultat_skel.

SPIP przed wersją 4.4.20 zawiera podatność umożliwiającą nieuwierzytelnionym zdalnym atakującym wykonanie dowolnego kodu. Problem związany jest z nieprawidłową identyfikacją bloków <?php oraz błędnym przetwarzaniem przez var_export pewnych przypadków, takich jak obecność znaku '<'. Podatność była wykorzystywana w środowisku dzikim w sierpniu 2026 roku.

SPIP w wersjach 2.x przed 2.1.19, 3.0.x przed 3.0.22 oraz 3.1.x przed 3.1.1 umożliwia zdalnym atakującym wykonanie dowolnego kodu PHP poprzez dodawanie treści, związane z funkcją filtrer_entites.

SPIP przed wersją 4.4.18 ma podatność wstrzyknięcia kodu w instalacjach z bazą SQLite, umożliwiającą wykonanie dowolnych poleceń systemowych przez uwierzytelnionego atakującego z uprawnieniami redaktora.

W systemie SPIP przed wersją 4.4.15 w pliku action/cookie.php w katalogu ecrire występuje podatność na otwarte przekierowanie (open redirect).