CVE-2026-72709 in SPIP
Resumen
por VulDB • 2026-09-11
SPIP anterior a la versión 4.4.18 contiene una vulnerabilidad de autorización faltante en los puntos finales de acción administrativa bajo ecrire/action/ que permite a atacantes no autenticados realizar acciones privilegiadas al proporcionar un nonce HMAC-SHA256 válido sin ninguna verificación de permisos del lado del servidor mediante autoriser(). Los atacantes pueden obtener un nonce válido, calcularlo para cualquier acción como usuario anónimo y ejecutar la acción editer_auteur directamente sobre HTTP para restablecer la contraseña de cualquier cuenta de usuario, incluida la del administrador.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.