CVE-2026-72708
WysokieCVSS 7.5Streszczenie
SPIP w wersji przed 4.4.18 zawiera nieuwierzytelnioną ślepą podatność SQL injection w publicznym punkcie końcowym sitemap. Eskaper MySQL spip_mysql_cite() w ecrire/req/mysql.php zwraca wartości bez escapowania, gdy docelowa kolumna jest typu date, a dostarczona wartość pasuje do wzorca znaku słownego, po którym następuje nawias otwierający. Atakujący może wstrzyknąć dowolny kod SQL przez parametr annee, co umożliwia ślepą iniekcję czasową i boolowską oraz ujawnienie dowolnej zawartości bazy danych, w tym sekretu alea_ephemere używanego do podpisywania nonces akcji.
Ocena ryzyka
Atakujący może odczytać dowolne dane z bazy danych, w tym sekrety kryptograficzne, co może prowadzić do fałszowania tokenów i dalszej kompromitacji aplikacji.
Rekomendacja
Zaktualizuj SPIP do wersji 4.4.18 lub nowszej, która zawiera poprawkę podatności SQL injection.
Inne podatności w SPIP
Zobacz wszystkie- CVE-2026-8430Wysokie
Wersje SPIP przed 4.4.14 zawierają podatność na zdalne wykonanie kodu w publicznej przestrzeni, ograniczoną do określonych konfiguracji nginx. Umożliwia to atakującym wykonanie dowolnego kodu w kontekście serwera WWW.
- CVE-2026-8429Wysokie
Wersje SPIP przed 4.4.14 zawierają podatność na zdalne wykonanie kodu w prywatnej przestrzeni, co pozwala atakującym na wykonanie dowolnego kodu w kontekście serwera WWW.
- CVE-2026-72710Krytyczne
SPIP w wersji przed 4.4.18 zawiera podatność zdalnego wykonania kodu w akcji editer_objet, gdzie parametr arg rozwiązuje nazwy tabel SQL bez egzekwowania listy dozwolonych edytowalnych kolumn. Atakujący z ważnym nonce może wstrzyknąć kontrolowane wiersze do tabeli spip_jobs, a następnie dostarczyć arg=job/0 ze spreparowanymi wartościami fonction i args, które są deserializowane i wykonywane podczas opróżniania kolejki zadań cron.
- CVE-2026-72709Krytyczne
SPIP w wersji przed 4.4.18 zawiera podatność braku autoryzacji w punktach końcowych akcji administracyjnych w ecrire/action/, która pozwala nieuwierzytelnionym atakującym na wykonywanie uprzywilejowanych akcji poprzez dostarczenie ważnego nonce HMAC-SHA256 bez żadnej weryfikacji uprawnień po stronie serwera przez autoriser(). Atakujący może uzyskać ważny nonce, obliczyć go dla dowolnej akcji jako użytkownik anonimowy i wywołać akcję editer_auteur bezpośrednio przez HTTP, aby zresetować hasło dowolnego konta użytkownika, w tym administratora.
- CVE-2026-77806Krytyczne
SPIP przed wersją 4.4.21 pozwala nieuwierzytelnionym zdalnym atakującym na wykonanie dowolnego kodu, co było wykorzystywane w środowisku naturalnym w sierpniu 2026. Problem związany jest z wstrzyknięciem kodu przez nagłówek HTTP X-Spip-Filtre, który jest nieprawidłowo obsługiwany przez funkcję analyse_resultat_skel.
- CVE-2026-77647Krytyczne
SPIP przed wersją 4.4.20 zawiera podatność umożliwiającą nieuwierzytelnionym zdalnym atakującym wykonanie dowolnego kodu. Problem związany jest z nieprawidłową identyfikacją bloków <?php oraz błędnym przetwarzaniem przez var_export pewnych przypadków, takich jak obecność znaku '<'. Podatność była wykorzystywana w środowisku dzikim w sierpniu 2026 roku.
- CVE-2017-9736Krytyczne
SPIP w wersjach 3.1.x przed 3.1.6 oraz 3.2.x przed Beta 3 nie usuwa metaznaków powłoki z pola host, co pozwala zdalnemu atakującemu na wykonanie zdalnego kodu.
- CVE-2016-3153Krytyczne
SPIP w wersjach 2.x przed 2.1.19, 3.0.x przed 3.0.22 oraz 3.1.x przed 3.1.1 umożliwia zdalnym atakującym wykonanie dowolnego kodu PHP poprzez dodawanie treści, związane z funkcją filtrer_entites.
- CVE-2026-66738Wysokie
SPIP przed wersją 4.4.18 ma podatność wstrzyknięcia kodu w instalacjach z bazą SQLite, umożliwiającą wykonanie dowolnych poleceń systemowych przez uwierzytelnionego atakującego z uprawnieniami redaktora.
- CVE-2026-48832Niskie
W systemie SPIP przed wersją 4.4.15 w pliku action/cookie.php w katalogu ecrire występuje podatność na otwarte przekierowanie (open redirect).
Oryginalny opis (angielski, źródło NVD)
SPIP before 4.4.18 contains an unauthenticated blind SQL injection vulnerability in the public sitemap endpoint where the MySQL escaper spip_mysql_cite() in ecrire/req/mysql.php returns values unescaped when the target column is a date type and the supplied value matches the pattern of a word character followed by an open parenthesis. Attackers can supply a crafted value such as a time-based payload through the annee parameter in squelettes-dist/sitemap.xml.html to embed arbitrary SQL directly into the generated query, enabling time-based and boolean-based blind SQL injection that can expose arbitrary database content including the alea_ephemere secret used to sign action nonces.