CVE-2026-27475

SPIP — Insecure Deserialization umożliwiająca RCE w obszarze publicznym

CVSS 9.2v4.0pub. 2026-02-19upd. 2026-02-24

SPIP przed wersją 4.4.9 zawiera podatność na niebezpieczną deserializację (CWE-502) w publicznym obszarze aplikacji, eksponowaną przez filtr table_valeur oraz iterator DATA. Przy spełnieniu warunków wstępnych atakujący może doprowadzić do wykonania dowolnego kodu na serwerze (RCE).

▸ Pokaż oryginał (EN)

SPIP before 4.4.9 allows Insecure Deserialization in the public area through the table_valeur filter and the DATA iterator, which accept serialized data. An attacker who can place malicious serialized content (a pre-condition requiring prior access or another vulnerability) can trigger arbitrary object instantiation and potentially achieve code execution. The use of serialized data in these components has been deprecated and will be removed in SPIP 5. This vulnerability is not mitigated by the SPIP security screen.

🤖 Analiza AI

Jak działa

Filtr table_valeur oraz iterator DATA w SPIP akceptują zserializowane dane bez odpowiedniej walidacji. Atakujący, który jest w stanie umieścić złośliwą zserializowaną treść — np. poprzez wcześniej uzyskany dostęp lub wykorzystanie innej podatności — może wywołać niekontrolowane tworzenie dowolnych obiektów PHP. Mechanizm ten może zostać wykorzystany do wykonania arbitralnego kodu na serwerze. Podatność nie jest łagodzona przez wbudowany ekran bezpieczeństwa SPIP.

Skutki

Atakujący może uzyskać pełną kontrolę nad serwerem poprzez wykonanie dowolnego kodu (RCE), co zagraża poufności, integralności i dostępności danych oraz systemu.

Mitygacja

Należy zaktualizować SPIP do wersji 4.4.9 lub nowszej zgodnie z oficjalnym komunikatem producenta (https://blog.spip.net/Mise-a-jour-de-securite-sortie-de-SPIP-4-4-9.html). Producent informuje, że obsługa zserializowanych danych w komponentach table_valeur i DATA zostanie całkowicie usunięta w SPIP 5.

Kogo dotyczy

SPIP we wszystkich wersjach przed 4.4.9

Uwagi

Podatność wymaga spełnienia warunku wstępnego: atakujący musi mieć możliwość umieszczenia złośliwej zserializowanej treści, co może wymagać wcześniejszego dostępu lub wykorzystania innej podatności. Ekran bezpieczeństwa SPIP nie stanowi skutecznego zabezpieczenia przed tą podatnością.

CVSS Vector

CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X