PT-2026-20914 · Spip · Spip

Dorian Piette · Publicado 2026-01-01 · Atualizado 2026-02-23 · CVE-2026-27473

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do SPIP anteriores a 4.4.9

Descrição Versões do SPIP anteriores a 4.4.9 contêm uma vulnerabilidade de Cross-Site Scripting (XSS) Armazenado relacionada a sites sindicados dentro da área privada. A saída de #URL SYNDIC não é adequadamente sanitizada ao exibir detalhes de sites sindicados na seção privada. Isso permite que um atacante que consiga controlar uma URL de sindicalização maliciosa injete scripts persistentes que serão executados quando outros administradores visualizarem os detalhes do site sindicado.

Recomendações Atualize para o SPIP versão 4.4.9 ou posterior.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-27473

Produtos afetados

Spip

Referências · 11

• https://git.spip.net/spip/spip · Nota
• https://security-tracker.debian.org/tracker/CVE-2026-27473 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2026-27473 · Aviso do Fabricante
• https://blog.spip.net/Mise-a-jour-de-securite-sortie-de-SPIP-4-4-9.html · Correção, Aviso do Fabricante
• https://twitter.com/CVEnew/status/2025809105127104802 · Publicação no Twitter
• https://osv.dev/vulnerability/UBUNTU-CVE-2026-27473 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-27473 · Nota de Segurança
• https://ubuntu.com/security/CVE-2026-27473 · Aviso do Fabricante
• https://vulncheck.com/advisories/spip-stored-cross-site-scripting-via-syndicated-sites · Nota
• https://osv.dev/vulnerability/DEBIAN-CVE-2026-27473 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2026-27473 · Nota de Segurança