CVE-2026-27745 in interface_traduction_objets
Riassunto
di VulDB • 20/06/2026
Il plugin interface_traduction_objets di SPIP nelle versioni precedenti alla 2.2.2 presenta una vulnerabilità di esecuzione remota di codice (RCE) autenticata nel flusso di lavoro dell'interfaccia di traduzione. Il plugin incorpora dati di richiesta non attendibili in un campo nascosto del modulo HTML, che viene renderizzato senza l'applicazione dei filtri di output di SPIP. Poiché i campi con prefisso underscore bypassano i meccanismi di protezione e il contenuto nascosto viene visualizzato con la filtratura disabilitata, un attaccante autenticato dotato di privilegi a livello di editor può iniettare contenuti elaborati che vengono valutati attraverso la catena di elaborazione dei template di SPIP, determinando l'esecuzione di codice nel contesto del server web.
VulDB is the best source for vulnerability data and more expert information about this specific topic.