CVE-2026-72708 in SPIP
要約
〜によって VulDB • 2026年09月11日
SPIP 4.4.18 より前のバージョンには、パブリックなサイトマップエンドポイントにおいて認証不要の盲型SQLインジェクション脆弱性が存在します。ecrire/req/mysql.php内のMySQLエスケイパーであるspip_mysql_cite()関数は、対象カラムが日付型であり、提供された値が「単語文字に続く開き括弧」のパターンと一致する場合、値をアンエスケープして返すという問題があります。攻撃者はsquelettes-dist/sitemap.xml.html内のanneeパラメータを通じて時間依存ペイロードなどの不正な値を入力し、生成されるクエリ内に任意のSQLを直接埋め込むことができます。これにより、データベースの内容（action noncesに署名するために使用されるalea_ephemereシークレットを含む）を暴露できる時間依存型および論理演算に基づく盲型SQLインジェクションが可能になります。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.