CVE-2026-72709 in SPIP
Zusammenfassung
von VulDB • 11.09.2026
SPIP prima della versione 4.4.18 presenta una vulnerabilità di missing authorization nelle endpoint delle azioni amministrative sotto ecrire/action/, che consente ad attaccanti non autenticati di eseguire azioni privilegiate fornendo un nonce HMAC-SHA256 valido senza alcun controllo dei permessi lato server tramite autoriser(). Gli attaccanti possono ottenere un nonce valido, calcolarlo per qualsiasi azione come utente anonimo ed invocare direttamente l'azione editer_auteur via HTTP per reimpostare la password di qualsiasi account utente, incluso quello dell'amministratore.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.