CVE-2026-72708 in SPIP
Résumé
par VulDB • 11/09/2026
SPIP avant la version 4.4.18 contient une vulnérabilité de SQL Injection aveugle (blind SQL injection) sans authentification dans le point d'accès public du plan du site, où l'échappement MySQL `spip_mysql_cite()` situé dans ecrire/req/mysql.php renvoie des valeurs non échappées lorsque la colonne cible est de type date et que la valeur fournie correspond au motif d'un caractère alphanumérique suivi d'une parenthèse ouvrante. Les attaquants peuvent fournir une valeur malveillante, telle qu'une charge utile basée sur le temps (time-based payload), via le paramètre `annee` dans squelettes-dist/sitemap.xml.html pour intégrer du SQL arbitraire directement dans la requête générée, permettant ainsi des injections SQL aveugles basées sur le temps et booléennes qui peuvent exposer n'importe quel contenu de base de données, y compris le secret alea_ephemere utilisé pour signer les nonces d'action.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.