Plugin porte_plume używany przez system zarządzania treścią SPIP zawiera podatność umożliwiającą zdalne wykonanie dowolnego kodu PHP. Atakujący nieuwierzytelniony może przejąć kontrolę nad serwerem poprzez wysłanie spreparowanego żądania HTTP.
▸ Pokaż oryginał (EN)
The porte_plume plugin used by SPIP before 4.30-alpha2, 4.2.13, and 4.1.16 is vulnerable to an arbitrary code execution vulnerability. A remote and unauthenticated attacker can execute arbitrary PHP as the SPIP user by sending a crafted HTTP request.
Podatność sklasyfikowana jako CWE-95 (improper neutralization of directives in dynamically evaluated code) oraz CWE-1286 wskazuje na nieprawidłową obsługę danych wejściowych w pluginie porte_plume. Zdalny, nieuwierzytelniony atakujący może przesłać spreparowane żądanie HTTP, które skutkuje wykonaniem dowolnego kodu PHP w kontekście użytkownika SPIP. Atak nie wymaga żadnej autoryzacji ani interakcji po stronie użytkownika, co czyni go szczególnie niebezpiecznym.
Atakujący może wykonać dowolny kod PHP na serwerze z uprawnieniami procesu SPIP, co prowadzi do pełnego przejęcia kontroli nad aplikacją, możliwości wycieku danych, modyfikacji treści oraz dalszego ruchu w infrastrukturze (lateral movement).
Należy niezwłocznie zaktualizować SPIP do wersji 4.30-alpha2, 4.2.13 lub 4.1.16 (w zależności od używanej gałęzi). Szczegóły dostępne w oficjalnym komunikacie producenta: https://blog.spip.net/Mise-a-jour-critique-de-securite-sortie-de-SPIP-4-3-0-alpha2-SPIP-4-2-13-SPIP-4.html
SPIP w wersjach przed 4.30-alpha2, przed 4.2.13 oraz przed 4.1.16 — wszystkie instalacje korzystające z pluginu porte_plume
Podatność posiada publiczną analizę techniczną dostępną pod adresem thinkloveshare.com opisującą mechanizm eksploitacji (pre-auth RCE). Mimo braku wpisu w CISA KEV, dostępność publicznej analizy znacząco zwiększa ryzyko aktywnego wykorzystania.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H