SPIP до версии 4.4.21 позволяет не прошедшим проверку подлинности удаленным злоумышленникам выполнять произвольный код, как это было использовано в августе 2026 года. Это связано с внедрением кода через заголовок HTTP-запроса X-Spip-Filtre, который неправильно обрабатывается analyse_resultat_skel.
Показать оригинальное описание (EN)
SPIP before 4.4.21 allows unauthenticated remote attackers to execute arbitrary code, as exploited in the wild in August 2026. This is related to code injection via an X-Spip-Filtre HTTP request header that is mishandled by analyse_resultat_skel.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Нужны права
Не требуются
Права не нужны
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Высокое
Полная утечка данных
Целостность
Высокое
Полная модификация данных
Доступность
Высокое
Полный отказ в обслуживании
Строка CVSS v3.1
Тип уязвимости (CWE)
Ссылки 4
https://blog.spip.net/Mise-a-jour-critique-de-securite-sortie-de-SPIP-4-4-21.ht…
cve@mitre.org
https://github.com/rapid7/metasploit-framework/pull/21790
cve@mitre.org
https://github.com/rapid7/metasploit-framework/pull/21790#issuecomment-53680381…
cve@mitre.org
https://github.com/rapid7/metasploit-framework/pull/21790/commits/b16eca819abb8…
cve@mitre.org