PT-2024-14522 · Spip · Spip

Hatim Chabik · Publicado 2024-01-04 · Atualizado 2024-03-15 · CVE-2023-52322

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões 4.1.3 e anteriores do SPIP

Versões 4.2.x a 4.2.6 do SPIP

Descrição

O problema decorre do arquivo ecrire/public/assembler.php no SPIP, onde a entrada de request() não é restrita a caracteres seguros, como alfanuméricos, permitindo ataques XSS.

Recomendações

Para as versões 4.1.3 e anteriores do SPIP, atualize para a versão 4.1.13 ou posterior.

Para as versões 4.2.x a 4.2.6 do SPIP, atualize para a versão 4.2.7 ou posterior.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2023-52322

DLA-3761-1

Produtos afetados

Spip

Referências · 15

• https://t.me/cvenotify/66198 · Publicação no Telegram
• https://ubuntu.com/security/CVE-2023-52322 · Aviso do Fabricante
• https://t.me/cvenotify/67984 · Publicação no Telegram
• https://blog.spip.net/Mise-a-jour-de-maintenance-et-securite-sortie-de-SPIP-4-2-7-SPIP-4-1-13.html?lang=fr · Nota
• https://osv.dev/vulnerability/UBUNTU-CVE-2023-52322 · Aviso do Fabricante
• https://t.me/cibsecurity/74394 · Publicação no Telegram
• https://lists.debian.org/debian-lts-announce/2024/03/msg00014.html · Nota
• https://t.me/cvenotify/73949 · Publicação no Telegram
• https://security-tracker.debian.org/tracker/CVE-2023-52322 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2023-52322 · Nota de Segurança
• https://osv.dev/vulnerability/DLA-3761-1 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2023-52322 · Nota de Segurança
• https://git.spip.net/spip/spip/commit/e90f5344b8c82711053053e778d38a35e42b7bcb · Correção
• https://osv.dev/vulnerability/DEBIAN-CVE-2023-52322 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2023-52322 · Aviso do Fabricante