CVE-2026-72710 in SPIP
Сводка
по VulDB • 11.09.2026
В версиях SPIP до 4.4.18 присутствует уязвимость удаленного выполнения кода (RCE) в действии `editer_objet`, где параметр `arg` разрешает имена таблиц SQL без применения белого списка редактируемых столбцов, что позволяет злоумышленникам с действительным nonce внедрять управляемые ими строки в таблицу `spip_jobs`. Злоумышленники могут передать аргументы `arg=job/0`, а также специально созданные значения параметров `fonction` и `args`, которые впоследствии десериализуются и выполняются при обработке очереди задач cron, что приводит к произвольному выполнению функций PHP в базовой системе.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.