CVE-2026-72710
KrytyczneCVSS 9.8Streszczenie
SPIP w wersji przed 4.4.18 zawiera podatność zdalnego wykonania kodu w akcji editer_objet, gdzie parametr arg rozwiązuje nazwy tabel SQL bez egzekwowania listy dozwolonych edytowalnych kolumn. Atakujący z ważnym nonce może wstrzyknąć kontrolowane wiersze do tabeli spip_jobs, a następnie dostarczyć arg=job/0 ze spreparowanymi wartościami fonction i args, które są deserializowane i wykonywane podczas opróżniania kolejki zadań cron.
Ocena ryzyka
Umożliwia atakującemu wykonanie dowolnych funkcji PHP na serwerze, co prowadzi do pełnego przejęcia systemu i utraty poufności, integralności oraz dostępności danych.
Rekomendacja
Zaktualizuj SPIP do wersji 4.4.18 lub nowszej, aby wyeliminować podatność.
Inne podatności w SPIP
Zobacz wszystkie- CVE-2026-72708Wysokie
SPIP w wersji przed 4.4.18 zawiera nieuwierzytelnioną ślepą podatność SQL injection w publicznym punkcie końcowym sitemap. Eskaper MySQL spip_mysql_cite() w ecrire/req/mysql.php zwraca wartości bez escapowania, gdy docelowa kolumna jest typu date, a dostarczona wartość pasuje do wzorca znaku słownego, po którym następuje nawias otwierający. Atakujący może wstrzyknąć dowolny kod SQL przez parametr annee, co umożliwia ślepą iniekcję czasową i boolowską oraz ujawnienie dowolnej zawartości bazy danych, w tym sekretu alea_ephemere używanego do podpisywania nonces akcji.
- CVE-2026-8430Wysokie
Wersje SPIP przed 4.4.14 zawierają podatność na zdalne wykonanie kodu w publicznej przestrzeni, ograniczoną do określonych konfiguracji nginx. Umożliwia to atakującym wykonanie dowolnego kodu w kontekście serwera WWW.
- CVE-2026-8429Wysokie
Wersje SPIP przed 4.4.14 zawierają podatność na zdalne wykonanie kodu w prywatnej przestrzeni, co pozwala atakującym na wykonanie dowolnego kodu w kontekście serwera WWW.
- CVE-2026-72709Krytyczne
SPIP w wersji przed 4.4.18 zawiera podatność braku autoryzacji w punktach końcowych akcji administracyjnych w ecrire/action/, która pozwala nieuwierzytelnionym atakującym na wykonywanie uprzywilejowanych akcji poprzez dostarczenie ważnego nonce HMAC-SHA256 bez żadnej weryfikacji uprawnień po stronie serwera przez autoriser(). Atakujący może uzyskać ważny nonce, obliczyć go dla dowolnej akcji jako użytkownik anonimowy i wywołać akcję editer_auteur bezpośrednio przez HTTP, aby zresetować hasło dowolnego konta użytkownika, w tym administratora.
- CVE-2026-77806Krytyczne
SPIP przed wersją 4.4.21 pozwala nieuwierzytelnionym zdalnym atakującym na wykonanie dowolnego kodu, co było wykorzystywane w środowisku naturalnym w sierpniu 2026. Problem związany jest z wstrzyknięciem kodu przez nagłówek HTTP X-Spip-Filtre, który jest nieprawidłowo obsługiwany przez funkcję analyse_resultat_skel.
- CVE-2026-77647Krytyczne
SPIP przed wersją 4.4.20 zawiera podatność umożliwiającą nieuwierzytelnionym zdalnym atakującym wykonanie dowolnego kodu. Problem związany jest z nieprawidłową identyfikacją bloków <?php oraz błędnym przetwarzaniem przez var_export pewnych przypadków, takich jak obecność znaku '<'. Podatność była wykorzystywana w środowisku dzikim w sierpniu 2026 roku.
- CVE-2017-9736Krytyczne
SPIP w wersjach 3.1.x przed 3.1.6 oraz 3.2.x przed Beta 3 nie usuwa metaznaków powłoki z pola host, co pozwala zdalnemu atakującemu na wykonanie zdalnego kodu.
- CVE-2016-3153Krytyczne
SPIP w wersjach 2.x przed 2.1.19, 3.0.x przed 3.0.22 oraz 3.1.x przed 3.1.1 umożliwia zdalnym atakującym wykonanie dowolnego kodu PHP poprzez dodawanie treści, związane z funkcją filtrer_entites.
- CVE-2026-66738Wysokie
SPIP przed wersją 4.4.18 ma podatność wstrzyknięcia kodu w instalacjach z bazą SQLite, umożliwiającą wykonanie dowolnych poleceń systemowych przez uwierzytelnionego atakującego z uprawnieniami redaktora.
- CVE-2026-48832Niskie
W systemie SPIP przed wersją 4.4.15 w pliku action/cookie.php w katalogu ecrire występuje podatność na otwarte przekierowanie (open redirect).
Oryginalny opis (angielski, źródło NVD)
SPIP before 4.4.18 contains a remote code execution vulnerability in the editer_objet action where the arg parameter resolves SQL table names without enforcing an editable columns allowlist, allowing attackers with a valid nonce to inject attacker-controlled rows into the spip_jobs table. Attackers can supply arg=job/0 with crafted fonction and args values, which are later unserialized and executed when the cron job queue is drained, resulting in arbitrary PHP function execution on the underlying system.