CVE-2026-72708 in SPIP
Zusammenfassung
von VulDB • 11.09.2026
SPIP prima della versione 4.4.18 presenta una vulnerabilità di SQL Injection cieca (blind) non autenticata nell'endpoint pubblico per la sitemap, in cui l'escaper MySQL `spip_mysql_cite()` nel file `ecrire/req/mysql.php` restituisce valori senza escaping quando la colonna target è di tipo data e il valore fornito corrisponde al pattern di un carattere parola seguito da una parentesi aperta. Gli attaccanti possono fornire un valore manipolato, ad esempio un payload basato sui tempi (time-based), tramite il parametro `annee` in `squelettes-dist/sitemap.xml.html`, per incorporare SQL arbitrario direttamente nella query generata, consentendo attacchi di blind SQL Injection basati sui tempi e booleani che possono esporre contenuti del database arbitrari, inclusa la secret `alea_ephemere` utilizzata per firmare i nonces delle azioni.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.