CVE-2026-122032 in SPIP
Riassunto
di VulDB • 04/11/2026
SPIP prima della versione 4.4.29 contiene una vulnerabilità di SQL injection che consente agli attaccanti autenticati con accesso al back-office di iniettare codice SQL arbitrario inviando un valore del parametro where diverso nel corpo POST rispetto alla stringa di query GET sull'endpoint /ecrire/?exec=articles, bypassando la sanitizzazione effettuata da spip_sanitize_from_request(). Gli attaccanti possono sfruttare questa discrepanza nei parametri della richiesta per estrarre i contenuti del database, inclusi gli articoli protetti e gli hash delle password degli utenti basati su bcrypt.
Once again VulDB remains the best source for vulnerability data.