CVE-2026-109378

Wersje SPIP przed 4.4.14 zawierają podatność na zdalne wykonanie kodu w publicznej przestrzeni, ograniczoną do określonych konfiguracji nginx. Umożliwia to atakującym wykonanie dowolnego kodu w kontekście serwera WWW.

Wersje SPIP przed 4.4.14 zawierają podatność na zdalne wykonanie kodu w prywatnej przestrzeni, co pozwala atakującym na wykonanie dowolnego kodu w kontekście serwera WWW.

SPIP w wersji przed 4.4.18 zawiera podatność typu mass assignment w akcji editer_objet, która pozwala nieuwierzytelnionym atakującym zapisywać dowolne wiersze do dowolnej tabeli SQL pozbawionej listy dozwolonych pól champs_editables. Atakujący mogą wstawić złośliwy wiersz do kolejki spip_jobs z kontrolowaną funkcją PHP i argumentami, który następnie jest dynamicznie wykonywany przez cron, co prowadzi do zdalnego wykonania kodu.

SPIP w wersji przed 4.4.18 zawiera podatność polegającą na braku autoryzacji w wrażliwych akcjach w katalogu ecrire/action/, co pozwala nieuwierzytelnionym atakującym wywoływać uprzywilejowane akcje, podając jedynie ważny nonce CSRF bez żadnej weryfikacji uprawnień po stronie serwera. Atakujący mogą ominąć zabezpieczenia autoryzacji na poziomie szablonów poprzez bezpośrednie żądania HTTP, aby wywołać akcje takie jak editer_auteur, umożliwiając dowolną zmianę haseł kont, w tym kont administratorów, co prowadzi do pełnego przejęcia konta.

SPIP przed wersją 4.4.21 pozwala nieuwierzytelnionym zdalnym atakującym na wykonanie dowolnego kodu, co było wykorzystywane w środowisku naturalnym w sierpniu 2026. Problem związany jest z wstrzyknięciem kodu przez nagłówek HTTP X-Spip-Filtre, który jest nieprawidłowo obsługiwany przez funkcję analyse_resultat_skel.

SPIP przed wersją 4.4.20 zawiera podatność umożliwiającą nieuwierzytelnionym zdalnym atakującym wykonanie dowolnego kodu. Problem związany jest z nieprawidłową identyfikacją bloków <?php oraz błędnym przetwarzaniem przez var_export pewnych przypadków, takich jak obecność znaku '<'. Podatność była wykorzystywana w środowisku dzikim w sierpniu 2026 roku.

SPIP w wersjach 3.1.x przed 3.1.6 oraz 3.2.x przed Beta 3 nie usuwa metaznaków powłoki z pola host, co pozwala zdalnemu atakującemu na wykonanie zdalnego kodu.

SPIP w wersjach 2.x przed 2.1.19, 3.0.x przed 3.0.22 oraz 3.1.x przed 3.1.1 umożliwia zdalnym atakującym wykonanie dowolnego kodu PHP poprzez dodawanie treści, związane z funkcją filtrer_entites.

SPIP w wersji przed 4.4.18 zawiera nieuwierzytelnioną podatność blind SQL injection w warstwie escapowania SQL, która pozwala nieuwierzytelnionym atakującym wstrzykiwać dowolne zapytania SQL poprzez podanie spreparowanej wartości parametru annee pasującej do znaku słownego, po którym następuje nawias otwierający, co omija escapowanie dla kolumn typu data w backendach MySQL, SQLite i PostgreSQL. Atakujący mogą wykorzystać zawsze obecny szablon sitemap.xml.html i kryterium annee, aby osadzić niescapowane ładunki czasowe lub logiczne w zapytaniach do bazy danych, umożliwiając ekstrakcję dowolnej zawartości bazy danych, w tym sekretu alea_ephemere używanego do podpisywania nonce akcji SPIP.

SPIP przed wersją 4.4.18 ma podatność wstrzyknięcia kodu w instalacjach z bazą SQLite, umożliwiającą wykonanie dowolnych poleceń systemowych przez uwierzytelnionego atakującego z uprawnieniami redaktora.