PT-2026-20915 · Spip · Spip

Dorian Piette · Publicado 2026-01-01 · Atualizado 2026-02-23 · CVE-2026-27474

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do SPIP anteriores a 4.4.9

Descrição Versões do SPIP anteriores a 4.4.9 contêm uma vulnerabilidade de Cross-Site Scripting (XSS) na área privada. Uma correção anterior no SPIP 4.4.8 estava incompleta, e a função echappe anti xss() não foi aplicada consistentemente às tags HTML input, form, button e âncora (). Isso permite que um atacante injete scripts maliciosos através desses elementos. A tela de segurança do SPIP não mitiga este problema.

Recomendações Atualize para o SPIP versão 4.4.9 ou superior.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-27474

Produtos afetados

Spip

Referências · 12

• https://git.spip.net/spip/spip · Nota
• https://vulncheck.com/advisories/spip-cross-site-scripting-in-private-area-incomplete-fix · Nota
• https://security-tracker.debian.org/tracker/CVE-2026-27474 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-27474 · Nota de Segurança
• https://blog.spip.net/Mise-a-jour-de-securite-sortie-de-SPIP-4-4-9.html · Correção, Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2026-27474 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/2024591810081821101 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2025809104200225205 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2026-27474 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2026-27474 · Aviso do Fabricante
• https://osv.dev/vulnerability/DEBIAN-CVE-2026-27474 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2026-27474 · Aviso do Fabricante