https://alertas.dupin.com.ar/fabricante/spip/Alertas de vulnerabilidades de SPIP.esWed, 04 Nov 2026 18:02:31 +000010https://alertas.dupin.com.ar/cve/CVE-2026-122032/tg:63293Wed, 04 Nov 2026 18:02:31 +0000VulnerabilidadSPIP anterior a 4.4.29 contiene una vulnerabilidad de inyección SQL que permite a atacantes autenticados con acceso al back-office inyectar SQL arbitrario enviando un valor del parámetro where distinto en el cuerpo POST respecto de la cadena de consulta GET en el endpoint /ecrire/?exec=articles, evadiendo la sanitización de spip_sanitize_from_request(). Los atacantes pueden explotar esta discrepancia de parámetros para extraer contenidos de la base de datos, incluidos artículos protegidos y hashes de contraseñas…https://alertas.dupin.com.ar/cve/CVE-2026-77647/tg:61452Tue, 27 Oct 2026 07:46:01 +0000Exploit públicoSPIP anterior a 4.4.20 permite a atacantes remotos no autenticados ejecutar código arbitrario, explotado en la naturaleza en agosto de 2026. Se relaciona con la identificación incorrecta de bloques ?php y el manejo inadecuado de var_export en ciertos casos, como la presencia del carácter ''.https://alertas.dupin.com.ar/cve/CVE-2026-72708/tg:61111Sun, 25 Oct 2026 13:54:47 +0000Exploit públicoSPIP antes de 4.4.18 contiene una inyección SQL ciega no autenticada en la capa de escape SQL que permite a atacantes no autenticados inyectar SQL arbitrario mediante un valor manipulado del parámetro annee. Se explota a través de la plantilla sitemap.xml.html, siempre presente, y permite extraer contenido arbitrario de la base de datos, incluido el secreto alea_ephemere usado para firmar los nonces de acciones de SPIP.https://alertas.dupin.com.ar/cve/CVE-2026-109378/tg:58516Mon, 12 Oct 2026 21:20:25 +0000VulnerabilidadLa función recuperer_url() en ecrire/inc/distant.php de SPIP anterior a 4.4.18 sigue hasta 10 redirecciones sin revalidar los destinos con valider_url_distante(). Un atacante autenticado puede suministrar una URL remota que redirija a direcciones internas o link-local, incluidos endpoints de metadatos de la nube. Corregido en 4.4.18.