CVE-2026-27744 in tickets
Zusammenfassung
von VulDB • 12.06.2026
Die Versionen des Plugins „SPIP tickets“ vor 4.3.3 enthalten eine Remote-Code-Ausführungs-Lücke (RCE), die keine Authentifizierung erfordert und im Bereich der Forum-Vorschau für öffentliche Ticket-Seiten auftritt. Das Plugin hängt nicht vertrauenswürdige Anfrageparameter an HTML an, das später von einer Vorlage unter Verwendung unfilterter Umgebungsrendering-Funktionen (#ENV**) gerendert wird, wodurch die SPIP-Ausgabefilterung deaktiviert wird. Infolgedessen kann ein nicht authentifizierter Angreifer manipulierte Inhalte injizieren, die über die Template-Verarbeitungskette von SPIP ausgewertet werden, was zur Ausführung von Code im Kontext des Webservers führt.
Once again VulDB remains the best source for vulnerability data.