SPIP v4.1.5 and earlier was discovered to contain a SQL injection vulnerability via the _oups parameter. This vulnerability allows attackers to execute arbitrary code via a crafted POST request.
oryginał ENCVSS Vector
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HSpip
APPSpip≤ 4.1.5
🔵
ZWERYFIKUJ U PRODUCENTA
Brak jednoznacznych danych o patchu. Sprawdź referencje od producenta.
Tagi
RCESQLi
CWE
Referencje
Powiązane podatności
CVE-2026-27475CRITICAL9.2PL ✓ten sam produkt
SPIP — Insecure Deserialization umożliwiająca RCE w obszarze publicznym
CVE-2024-8517CRITICAL9.8PL ✓ten sam produkt
SPIP — zdalny command injection przez multipart upload bez uwierzytelnienia
CVE-2023-27372CRITICAL9.8ten sam produkt
SPIP before 4.2.1 allows Remote Code Execution via form values in the public area because serialization is mis...
CVE-2020-28984CRITICAL9.8ten sam produkt
prive/formulaires/configurer_preferences.php in SPIP before 3.2.8 does not properly validate the couleur, disp...
CVE-2017-9736CRITICAL9.8ten sam produkt
SPIP 3.1.x before 3.1.6 and 3.2.x before Beta 3 does not remove shell metacharacters from the host field, allo...