PT-2026-20913 · Spip · Spip

Dorian Piette · Publicado 2026-01-01 · Atualizado 2026-02-23 · CVE-2026-27472

Positive Technologies (AI Summary) · Pt

CVSS v4.0

5.3

Média

Vetor base

AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:L/VA:N/SC:L/SI:L/SA:L/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Nome do Software Vulnerável e Versões Afetadas Versões do SPIP anteriores à 4.4.9

Descrição Versões do SPIP anteriores à 4.4.9 contêm uma vulnerabilidade de Falsificação de Solicitação do Lado do Servidor Cega (SSRF) relacionada a sites sindicados dentro da área privada. A aplicação não valida a URL de sindicação ao editar um site sindicado, o que pode permitir que um atacante autenticado force o servidor a fazer solicitações para locais internos ou externos arbitrários. A tela de segurança do SPIP não aborda este problema.

Recomendações Atualize para a versão 4.4.9 ou posterior do SPIP.

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2026-27472

Produtos afetados

Spip

Referências · 12

• https://git.spip.net/spip/spip · Nota
• https://vulncheck.com/advisories/spip-blind-server-side-request-forgery-via-syndicated-sites · Nota
• https://security-tracker.debian.org/tracker/CVE-2026-27472 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2026-27472 · Aviso do Fabricante
• https://blog.spip.net/Mise-a-jour-de-securite-sortie-de-SPIP-4-4-9.html · Correção, Aviso do Fabricante
• https://twitter.com/CVEnew/status/2025809106209292676 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2026-27472 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2026-27472 · Nota de Segurança
• https://osv.dev/vulnerability/UBUNTU-CVE-2026-27472 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/2024589250226720836 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-27472 · Nota de Segurança
• https://osv.dev/vulnerability/DEBIAN-CVE-2026-27472 · Aviso do Fabricante