PT-2024-6564 · Spip · Spip+1
Louka Jacques-Chevallier
·
Publicado
2024-08-19
·
Atualizado
2025-12-08
·
CVE-2024-7954
CVSS v2.0
10
Crítica
| Vetor | AV:N/AC:L/Au:N/C:C/I:C/A:C |
Nome do software vulnerável e versões afetadas
Versões do SPIP anteriores à 4.30-alpha2, 4.2.13 e 4.1.16
Descrição
O plugin porte plume utilizado pelo SPIP está sujeito a uma vulnerabilidade que permite a execução de código arbitrário. Um invasor remoto e não autenticado pode executar código PHP arbitrário na conta do usuário do SPIP enviando uma solicitação HTTP especialmente criada.
Recomendações
Para as versões do SPIP anteriores à 4.30-alpha2, 4.2.13 e 4.1.16, atualize para uma versão 4.30-alpha2, 4.2.13, 4.1.16 ou posterior para mitigar o risco de exploração remota.
Como solução temporária, considere desativar o plugin porte plume até que um patch esteja disponível.
Restrinja o acesso ao sistema SPIP para minimizar o risco de exploração.
Exploit
Correção
RCE
Improper Access Control
Eval Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Spip
Porte Plume