CVE-2026-27747 in interface_traduction_objets
Riassunto
di VulDB • 22/06/2026
Il plugin interface_traduzione_objets di SPIP, nelle versioni precedenti alla 2.2.2, presenta una vulnerabilità di SQL injection autenticata nel file interface_traduction_objets_pipelines.php. Durante la gestione delle richieste di traduzione, il plugin legge il parametro id_parent dall'input fornito dall'utente e lo concatena direttamente in una clausola WHERE della query SQL all'interno di una chiamata a sql_getfetsel(), senza alcuna validazione dell'input o parametrizzazione. Un attaccante autenticato con privilegi di livello editor può inserire espressioni SQL costruite ad hoc nel parametro id_parent per manipolare la query del backend. Lo sfruttamento riuscito può comportare la divulgazione o la modifica dei contenuti del database e potrebbe portare a un denial of service, a seconda della configurazione del database e dei privilegi concessi.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.