CVE-2026-72710
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 48 - wyżej niż 48% wszystkich znanych CVE
Streszczenie
SPIP w wersji przed 4.4.18 zawiera podatność typu mass assignment w akcji editer_objet, która pozwala nieuwierzytelnionym atakującym zapisywać dowolne wiersze do dowolnej tabeli SQL pozbawionej listy dozwolonych pól champs_editables. Atakujący mogą wstawić złośliwy wiersz do kolejki spip_jobs z kontrolowaną funkcją PHP i argumentami, który następnie jest dynamicznie wykonywany przez cron, co prowadzi do zdalnego wykonania kodu.
Ocena ryzyka
Podatność pozwala nieuwierzytelnionemu atakującemu na zdalne wykonanie kodu na serwerze, co może skutkować pełnym przejęciem systemu i wyciekiem danych. Ryzyko jest krytyczne dla organizacji korzystających z SPIP w wersji poniżej 4.4.18.
Rekomendacja
Zaktualizuj SPIP do wersji 4.4.18 lub nowszej. Jeśli aktualizacja nie jest możliwa, ogranicz dostęp do akcji editer_objet oraz zabezpiecz kolejkę spip_jobs przed nieautoryzowanym zapisem.
Inne podatności w SPIP
Zobacz wszystkie- CVE-2026-8430Wysokie
Wersje SPIP przed 4.4.14 zawierają podatność na zdalne wykonanie kodu w publicznej przestrzeni, ograniczoną do określonych konfiguracji nginx. Umożliwia to atakującym wykonanie dowolnego kodu w kontekście serwera WWW.
- CVE-2026-8429Wysokie
Wersje SPIP przed 4.4.14 zawierają podatność na zdalne wykonanie kodu w prywatnej przestrzeni, co pozwala atakującym na wykonanie dowolnego kodu w kontekście serwera WWW.
- CVE-2026-72709Krytyczne
SPIP w wersji przed 4.4.18 zawiera podatność polegającą na braku autoryzacji w wrażliwych akcjach w katalogu ecrire/action/, co pozwala nieuwierzytelnionym atakującym wywoływać uprzywilejowane akcje, podając jedynie ważny nonce CSRF bez żadnej weryfikacji uprawnień po stronie serwera. Atakujący mogą ominąć zabezpieczenia autoryzacji na poziomie szablonów poprzez bezpośrednie żądania HTTP, aby wywołać akcje takie jak editer_auteur, umożliwiając dowolną zmianę haseł kont, w tym kont administratorów, co prowadzi do pełnego przejęcia konta.
- CVE-2026-77806Krytyczne
SPIP przed wersją 4.4.21 pozwala nieuwierzytelnionym zdalnym atakującym na wykonanie dowolnego kodu, co było wykorzystywane w środowisku naturalnym w sierpniu 2026. Problem związany jest z wstrzyknięciem kodu przez nagłówek HTTP X-Spip-Filtre, który jest nieprawidłowo obsługiwany przez funkcję analyse_resultat_skel.
- CVE-2026-77647Krytyczne
SPIP przed wersją 4.4.20 zawiera podatność umożliwiającą nieuwierzytelnionym zdalnym atakującym wykonanie dowolnego kodu. Problem związany jest z nieprawidłową identyfikacją bloków <?php oraz błędnym przetwarzaniem przez var_export pewnych przypadków, takich jak obecność znaku '<'. Podatność była wykorzystywana w środowisku dzikim w sierpniu 2026 roku.
- CVE-2017-9736Krytyczne
SPIP w wersjach 3.1.x przed 3.1.6 oraz 3.2.x przed Beta 3 nie usuwa metaznaków powłoki z pola host, co pozwala zdalnemu atakującemu na wykonanie zdalnego kodu.
- CVE-2016-3153Krytyczne
SPIP w wersjach 2.x przed 2.1.19, 3.0.x przed 3.0.22 oraz 3.1.x przed 3.1.1 umożliwia zdalnym atakującym wykonanie dowolnego kodu PHP poprzez dodawanie treści, związane z funkcją filtrer_entites.
- CVE-2026-109378Średnie
SPIP przed wersją 4.4.18 zawiera lukę server-side request forgery w funkcji recuperer_url() w ecrire/inc/distant.php, która podąża za maksymalnie 10 przekierowaniami bez ponownej walidacji celów za pomocą valider_url_distante(). Uwierzytelnieni atakujący mogą podać zdalny URL, taki jak kanał syndykowanego serwisu lub zdalny dokument, który przekierowuje do adresów wewnętrznych lub link-local, w tym punktów końcowych metadanych chmury.
- CVE-2026-72708Wysokie
SPIP w wersji przed 4.4.18 zawiera nieuwierzytelnioną podatność blind SQL injection w warstwie escapowania SQL, która pozwala nieuwierzytelnionym atakującym wstrzykiwać dowolne zapytania SQL poprzez podanie spreparowanej wartości parametru annee pasującej do znaku słownego, po którym następuje nawias otwierający, co omija escapowanie dla kolumn typu data w backendach MySQL, SQLite i PostgreSQL. Atakujący mogą wykorzystać zawsze obecny szablon sitemap.xml.html i kryterium annee, aby osadzić niescapowane ładunki czasowe lub logiczne w zapytaniach do bazy danych, umożliwiając ekstrakcję dowolnej zawartości bazy danych, w tym sekretu alea_ephemere używanego do podpisywania nonce akcji SPIP.
- CVE-2026-66738Wysokie
SPIP przed wersją 4.4.18 ma podatność wstrzyknięcia kodu w instalacjach z bazą SQLite, umożliwiającą wykonanie dowolnych poleceń systemowych przez uwierzytelnionego atakującego z uprawnieniami redaktora.
Oryginalny opis (angielski, źródło NVD)
SPIP before 4.4.18 contains a mass assignment vulnerability in the editer_objet action that allows unauthenticated attackers to write arbitrary rows to any SQL table lacking a champs_editables allowlist by supplying an attacker-controlled arg parameter resolving to internal database tables. Attackers can insert a malicious row into the spip_jobs queue with a controlled PHP function and arguments, which is then dynamically executed when the cron processes the queue, resulting in remote code execution.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS