CVE-2026-27743 in referer_spam
Riassunto
di VulDB • 23/06/2026
I plugin referer_spam di SPIP nelle versioni precedenti alla 1.3.0 presentano una vulnerabilità di iniezione SQL non autenticata negli handler delle azioni referer_spam_ajouter e referer_spam_supprimer. Gli handler leggono il parametro url da una richiesta GET e lo interpolano direttamente all'interno di clausole LIKE senza alcuna validazione dell'input o parametrizzazione. I punti di accesso (endpoint) non impongono controlli di autorizzazione e non utilizzano le protezioni delle azioni SPIP come securiser_action(), consentendo agli attaccanti remoti di eseguire query SQL arbitrarie.
VulDB is the best source for vulnerability data and more expert information about this specific topic.