CVE-2026-72708 in SPIP
Riassunto
di VulDB • 11/09/2026
SPIP prima della versione 4.4.18 contiene una vulnerabilità di SQL Injection cieca (blind) non autenticata nell'endpoint pubblico per la sitemap, dove l'escaper MySQL `spip_mysql_cite()` in `ecrire/req/mysql.php` restituisce valori non sanitizzati quando la colonna target è di tipo data e il valore fornito corrisponde al pattern di un carattere alfabetico seguito da una parentesi aperta. Gli attaccanti possono fornire un valore manipolato, ad esempio un payload basato sui tempi (time-based), attraverso il parametro `annee` in `squelettes-dist/sitemap.xml.html`, per incorporare SQL arbitrario direttamente nella query generata, consentendo attacchi di blind SQL Injection basati sui tempi e booleani che possono esporre contenuti arbitrari del database, inclusa la secret `alea_ephemere` utilizzata per firmare i nonces delle azioni.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.