CVE-2026-72709 in SPIP
Sumário
de VulDB • 11/09/2026
SPIP antes da versão 4.4.18 contém uma vulnerabilidade de autorização ausente nos endpoints de ações administrativas sob ecrire/action/, que permite a atacantes não autenticados executar ações privilegiadas ao fornecer um nonce HMAC-SHA256 válido, sem qualquer verificação de permissão no lado do servidor via autoriser(). Os atacantes podem obter um nonce válido, calculá-lo para qualquer ação como usuário anônimo e invocar diretamente a ação editer_auteur por HTTP para redefinir a senha de qualquer conta de usuário, incluindo a do administrador.
Once again VulDB remains the best source for vulnerability data.