CVE-2026-72708
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
SPIP w wersji przed 4.4.18 zawiera nieuwierzytelnioną podatność blind SQL injection w warstwie escapowania SQL, która pozwala nieuwierzytelnionym atakującym wstrzykiwać dowolne zapytania SQL poprzez podanie spreparowanej wartości parametru annee pasującej do znaku słownego, po którym następuje nawias otwierający, co omija escapowanie dla kolumn typu data w backendach MySQL, SQLite i PostgreSQL. Atakujący mogą wykorzystać zawsze obecny szablon sitemap.xml.html i kryterium annee, aby osadzić niescapowane ładunki czasowe lub logiczne w zapytaniach do bazy danych, umożliwiając ekstrakcję dowolnej zawartości bazy danych, w tym sekretu alea_ephemere używanego do podpisywania nonce akcji SPIP.
Ocena ryzyka
Podatność umożliwia nieuwierzytelnionemu atakującemu ekstrakcję poufnych danych z bazy danych, w tym sekretu używanego do podpisywania nonce, co może prowadzić do dalszych ataków. Ryzyko jest wysokie ze względu na możliwość wycieku danych i obejście mechanizmów bezpieczeństwa.
Rekomendacja
Zaktualizuj SPIP do wersji 4.4.18 lub nowszej. W przypadku braku możliwości aktualizacji należy rozważyć filtrowanie ruchu do szablonu sitemap.xml.html oraz monitorowanie nietypowych zapytań do bazy danych.
Inne podatności w SPIP
Zobacz wszystkie- CVE-2026-8430Wysokie
Wersje SPIP przed 4.4.14 zawierają podatność na zdalne wykonanie kodu w publicznej przestrzeni, ograniczoną do określonych konfiguracji nginx. Umożliwia to atakującym wykonanie dowolnego kodu w kontekście serwera WWW.
- CVE-2026-8429Wysokie
Wersje SPIP przed 4.4.14 zawierają podatność na zdalne wykonanie kodu w prywatnej przestrzeni, co pozwala atakującym na wykonanie dowolnego kodu w kontekście serwera WWW.
- CVE-2026-72710Krytyczne
SPIP w wersji przed 4.4.18 zawiera podatność typu mass assignment w akcji editer_objet, która pozwala nieuwierzytelnionym atakującym zapisywać dowolne wiersze do dowolnej tabeli SQL pozbawionej listy dozwolonych pól champs_editables. Atakujący mogą wstawić złośliwy wiersz do kolejki spip_jobs z kontrolowaną funkcją PHP i argumentami, który następnie jest dynamicznie wykonywany przez cron, co prowadzi do zdalnego wykonania kodu.
- CVE-2026-72709Krytyczne
SPIP w wersji przed 4.4.18 zawiera podatność polegającą na braku autoryzacji w wrażliwych akcjach w katalogu ecrire/action/, co pozwala nieuwierzytelnionym atakującym wywoływać uprzywilejowane akcje, podając jedynie ważny nonce CSRF bez żadnej weryfikacji uprawnień po stronie serwera. Atakujący mogą ominąć zabezpieczenia autoryzacji na poziomie szablonów poprzez bezpośrednie żądania HTTP, aby wywołać akcje takie jak editer_auteur, umożliwiając dowolną zmianę haseł kont, w tym kont administratorów, co prowadzi do pełnego przejęcia konta.
- CVE-2026-77806Krytyczne
SPIP przed wersją 4.4.21 pozwala nieuwierzytelnionym zdalnym atakującym na wykonanie dowolnego kodu, co było wykorzystywane w środowisku naturalnym w sierpniu 2026. Problem związany jest z wstrzyknięciem kodu przez nagłówek HTTP X-Spip-Filtre, który jest nieprawidłowo obsługiwany przez funkcję analyse_resultat_skel.
- CVE-2026-77647Krytyczne
SPIP przed wersją 4.4.20 zawiera podatność umożliwiającą nieuwierzytelnionym zdalnym atakującym wykonanie dowolnego kodu. Problem związany jest z nieprawidłową identyfikacją bloków <?php oraz błędnym przetwarzaniem przez var_export pewnych przypadków, takich jak obecność znaku '<'. Podatność była wykorzystywana w środowisku dzikim w sierpniu 2026 roku.
- CVE-2017-9736Krytyczne
SPIP w wersjach 3.1.x przed 3.1.6 oraz 3.2.x przed Beta 3 nie usuwa metaznaków powłoki z pola host, co pozwala zdalnemu atakującemu na wykonanie zdalnego kodu.
- CVE-2016-3153Krytyczne
SPIP w wersjach 2.x przed 2.1.19, 3.0.x przed 3.0.22 oraz 3.1.x przed 3.1.1 umożliwia zdalnym atakującym wykonanie dowolnego kodu PHP poprzez dodawanie treści, związane z funkcją filtrer_entites.
- CVE-2026-109378Średnie
SPIP przed wersją 4.4.18 zawiera lukę server-side request forgery w funkcji recuperer_url() w ecrire/inc/distant.php, która podąża za maksymalnie 10 przekierowaniami bez ponownej walidacji celów za pomocą valider_url_distante(). Uwierzytelnieni atakujący mogą podać zdalny URL, taki jak kanał syndykowanego serwisu lub zdalny dokument, który przekierowuje do adresów wewnętrznych lub link-local, w tym punktów końcowych metadanych chmury.
- CVE-2026-66738Wysokie
SPIP przed wersją 4.4.18 ma podatność wstrzyknięcia kodu w instalacjach z bazą SQLite, umożliwiającą wykonanie dowolnych poleceń systemowych przez uwierzytelnionego atakującego z uprawnieniami redaktora.
Oryginalny opis (angielski, źródło NVD)
SPIP before 4.4.18 contains an unauthenticated blind SQL injection vulnerability in the SQL escaping layer that allows unauthenticated attackers to inject arbitrary SQL by supplying a crafted annee parameter value matching a word character followed by an open parenthesis, which bypasses escaping for date-type columns across MySQL, SQLite, and PostgreSQL backends. Attackers can exploit the always-present sitemap.xml.html template's annee criterion to embed unescaped time-based or boolean payloads into database queries, enabling extraction of arbitrary database content including the alea_ephemere secret used to sign SPIP action nonces.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS