EXPLOIT PÚBLICODetectada 25 OCT · 10:54

CVE-2026-72708 Inyección SQL ciega no autenticada en SPIP vía sitemap.xml.html

SPIP antes de 4.4.18 contiene una inyección SQL ciega no autenticada en la capa de escape SQL que permite a atacantes no autenticados inyectar SQL arbitrario mediante un valor manipulado del parámetro annee. Se explota a través de la plantilla sitemap.xml.html, siempre presente, y permite extraer contenido arbitrario de la base de datos, incluido el secreto alea_ephemere usado para firmar los nonces de acciones de SPIP.

7.5ALTA

CVSS 3.1

CVSS 4.08.7 · alta
Probabilidad de explotación · EPSS del 09/110,5 % · percentil 44
Explotada activamenteNo confirmada
Exploit públicoSí, 1

Afectados

SPIP
hasta antes de 4.4.18

Qué hacer

Verificá si usás SPIP y en qué versión.
Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Priorizá la corrección: hay código de explotación público.

Exploits públicos

Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.

ka3n1x/spip-cve-2026 PoC for CVE-2026-72708 (blind SQLi) and CVE-2026-109378 (SSRF) in SPIP, both fixed in 4.4.1825 OCT · 10:54

Calculadora CVSS

CVSS 3.1 · 7.5 ALTA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Vector de ataqueRed
Complejidad del ataqueBaja
Privilegios requeridosNinguno
Interacción del usuarioNinguna
AlcanceSin cambio
ConfidencialidadAlta
IntegridadNinguna
DisponibilidadNinguna

CVSS 4.0 · 8.7 ALTA

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

Vector de ataqueRed
Complejidad del ataqueBaja
Requisitos del ataqueNinguno
Privilegios requeridosNinguno
Interacción del usuarioNinguna
Confidencialidad (sistema vulnerable)Alta
Integridad (sistema vulnerable)Ninguna
Disponibilidad (sistema vulnerable)Ninguna
Confidencialidad (sistemas posteriores)Ninguna
Integridad (sistemas posteriores)Ninguna
Disponibilidad (sistemas posteriores)Ninguna

Descripción original

SPIP before 4.4.18 contains an unauthenticated blind SQL injection vulnerability in the SQL escaping layer that allows unauthenticated attackers to inject arbitrary SQL by supplying a crafted annee parameter value matching a word character followed by an open parenthesis, which bypasses escaping for date-type columns across MySQL, SQLite, and PostgreSQL backends. Attackers can exploit the always-present sitemap.xml.html template's annee criterion to embed unescaped time-based or boolean payloads into database queries, enabling extraction of arbitrary database content including the alea_ephemere secret used to sign SPIP action nonces.

Referencias (3)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.