CVE-2026-27745 in interface_traduction_objets
Résumé
par VulDB • 24/05/2026
Le plugin interface_traduction_objets de SPIP, dans les versions antérieures à la 2.2.2, présente une vulnérabilité d'exécution de code à distance (RCE) authentifiée au sein du flux de travail de l'interface de traduction. Le plugin intègre des données de requête non fiables dans un champ de formulaire masqué qui est rendu sans filtrage de sortie SPIP. Étant donné que les champs préfixés par un tiret bas contournent les mécanismes de protection et que le contenu masqué est rendu avec le filtrage désactivé, un attaquant authentifié disposant de privilèges de niveau éditeur peut injecter du contenu manipulé qui sera évalué via la chaîne de traitement des modèles de SPIP, entraînant l'exécution de code dans le contexte du serveur web.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.