CVE-2026-72709
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
SPIP w wersji przed 4.4.18 zawiera podatność polegającą na braku autoryzacji w wrażliwych akcjach w katalogu ecrire/action/, co pozwala nieuwierzytelnionym atakującym wywoływać uprzywilejowane akcje, podając jedynie ważny nonce CSRF bez żadnej weryfikacji uprawnień po stronie serwera. Atakujący mogą ominąć zabezpieczenia autoryzacji na poziomie szablonów poprzez bezpośrednie żądania HTTP, aby wywołać akcje takie jak editer_auteur, umożliwiając dowolną zmianę haseł kont, w tym kont administratorów, co prowadzi do pełnego przejęcia konta.
Ocena ryzyka
Podatność umożliwia nieuwierzytelnionemu atakującemu przejęcie konta administratora i pełną kontrolę nad systemem SPIP. Ryzyko jest krytyczne, ponieważ prowadzi do całkowitego przejęcia aplikacji i danych.
Rekomendacja
Zaktualizuj SPIP do wersji 4.4.18 lub nowszej. W międzyczasie rozważ ograniczenie dostępu do katalogu ecrire/action/ oraz monitorowanie nietypowych żądań do tych akcji.
Inne podatności w SPIP
Zobacz wszystkie- CVE-2026-8430Wysokie
Wersje SPIP przed 4.4.14 zawierają podatność na zdalne wykonanie kodu w publicznej przestrzeni, ograniczoną do określonych konfiguracji nginx. Umożliwia to atakującym wykonanie dowolnego kodu w kontekście serwera WWW.
- CVE-2026-8429Wysokie
Wersje SPIP przed 4.4.14 zawierają podatność na zdalne wykonanie kodu w prywatnej przestrzeni, co pozwala atakującym na wykonanie dowolnego kodu w kontekście serwera WWW.
- CVE-2026-72710Krytyczne
SPIP w wersji przed 4.4.18 zawiera podatność typu mass assignment w akcji editer_objet, która pozwala nieuwierzytelnionym atakującym zapisywać dowolne wiersze do dowolnej tabeli SQL pozbawionej listy dozwolonych pól champs_editables. Atakujący mogą wstawić złośliwy wiersz do kolejki spip_jobs z kontrolowaną funkcją PHP i argumentami, który następnie jest dynamicznie wykonywany przez cron, co prowadzi do zdalnego wykonania kodu.
- CVE-2026-77806Krytyczne
SPIP przed wersją 4.4.21 pozwala nieuwierzytelnionym zdalnym atakującym na wykonanie dowolnego kodu, co było wykorzystywane w środowisku naturalnym w sierpniu 2026. Problem związany jest z wstrzyknięciem kodu przez nagłówek HTTP X-Spip-Filtre, który jest nieprawidłowo obsługiwany przez funkcję analyse_resultat_skel.
- CVE-2026-77647Krytyczne
SPIP przed wersją 4.4.20 zawiera podatność umożliwiającą nieuwierzytelnionym zdalnym atakującym wykonanie dowolnego kodu. Problem związany jest z nieprawidłową identyfikacją bloków <?php oraz błędnym przetwarzaniem przez var_export pewnych przypadków, takich jak obecność znaku '<'. Podatność była wykorzystywana w środowisku dzikim w sierpniu 2026 roku.
- CVE-2017-9736Krytyczne
SPIP w wersjach 3.1.x przed 3.1.6 oraz 3.2.x przed Beta 3 nie usuwa metaznaków powłoki z pola host, co pozwala zdalnemu atakującemu na wykonanie zdalnego kodu.
- CVE-2016-3153Krytyczne
SPIP w wersjach 2.x przed 2.1.19, 3.0.x przed 3.0.22 oraz 3.1.x przed 3.1.1 umożliwia zdalnym atakującym wykonanie dowolnego kodu PHP poprzez dodawanie treści, związane z funkcją filtrer_entites.
- CVE-2026-109378Średnie
SPIP przed wersją 4.4.18 zawiera lukę server-side request forgery w funkcji recuperer_url() w ecrire/inc/distant.php, która podąża za maksymalnie 10 przekierowaniami bez ponownej walidacji celów za pomocą valider_url_distante(). Uwierzytelnieni atakujący mogą podać zdalny URL, taki jak kanał syndykowanego serwisu lub zdalny dokument, który przekierowuje do adresów wewnętrznych lub link-local, w tym punktów końcowych metadanych chmury.
- CVE-2026-72708Wysokie
SPIP w wersji przed 4.4.18 zawiera nieuwierzytelnioną podatność blind SQL injection w warstwie escapowania SQL, która pozwala nieuwierzytelnionym atakującym wstrzykiwać dowolne zapytania SQL poprzez podanie spreparowanej wartości parametru annee pasującej do znaku słownego, po którym następuje nawias otwierający, co omija escapowanie dla kolumn typu data w backendach MySQL, SQLite i PostgreSQL. Atakujący mogą wykorzystać zawsze obecny szablon sitemap.xml.html i kryterium annee, aby osadzić niescapowane ładunki czasowe lub logiczne w zapytaniach do bazy danych, umożliwiając ekstrakcję dowolnej zawartości bazy danych, w tym sekretu alea_ephemere używanego do podpisywania nonce akcji SPIP.
- CVE-2026-66738Wysokie
SPIP przed wersją 4.4.18 ma podatność wstrzyknięcia kodu w instalacjach z bazą SQLite, umożliwiającą wykonanie dowolnych poleceń systemowych przez uwierzytelnionego atakującego z uprawnieniami redaktora.
Oryginalny opis (angielski, źródło NVD)
SPIP before version 4.4.18 contains a missing authorization vulnerability in sensitive actions under ecrire/action/ that allows unauthenticated attackers to invoke privileged actions by supplying only a valid CSRF nonce without any server-side permission check. Attackers can bypass template-level authorization guards through direct HTTP requests to invoke actions such as editer_auteur, enabling arbitrary account password rewrites including administrator accounts and resulting in full account takeover.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS