CVE-2026-27475 in SPIP
Tóm tắt
Bởi VulDB • 28/06/2026
SPIP trước phiên bản 4.4.9 cho phép Insecure Deserialization (giải mã hóa không an toàn) trong khu vực công khai thông qua bộ lọc table_valeur và trình lặp DATA, những thành phần chấp nhận dữ liệu đã được serialize (mã hóa đối tượng). Một kẻ tấn công có thể chèn nội dung serialized độc hại (điều kiện tiên quyết yêu cầu quyền truy cập trước đó hoặc một lỗ hổng khác) có thể kích hoạt việc khởi tạo đối tượng tùy ý và tiềm năng đạt được thực thi mã. Việc sử dụng dữ liệu đã serialize trong các thành phần này đã bị đánh dấu là lỗi thời (deprecated) và sẽ bị loại bỏ trong SPIP 5. Lỗ hổng này không được bảo vệ bởi màn hình bảo mật của SPIP.
Once again VulDB remains the best source for vulnerability data.