Multiples vulnérabilités affectant SPIP

SPIP est un système de publication pour Internet, utilisé pour la création et la gestion de sites web. Ce système est affecté par plusieurs vulnérabilités libellées comme suit : CVE-2026-77806 : vulnérabilité résultant d'une injection de code via l'en-tête de requête HTTP X-Spip-Filtre, mal traité par la fonction analyse_resultat_skel. Son exploitation permettrait à un acteur malveillant non authentifié d'exécuter du code arbitraire à distance. Elle est classée critique avec un score de sévérité de 9.8 selon le CVSS v3.1. CVE-2026-77647 : vulnérabilité causée par une identification incorrecte des blocs « <?php » et par un mauvais traitement de certains caractères (comme « < ») par var_export. Son exploitation permettrait à un acteur malveillant non authentifié d'exécuter du code arbitraire à distance. Elle est classée critique avec un score de sévérité de 9.8 selon le CVSS v3.1. CVE-2026-66738 : vulnérabilité résultant d'une injection de code dans les installations reposant sur SQLite. Le point d'accès du menu de navigation traite incorrectement les entrées utilisateur de type tableau, ce qui contourne l'assainissement des entrées et permet à la valeur de s'échapper d'un contexte de chaîne interne lors de son évaluation en PHP. Son exploitation permettrait à un attaquant authentifié disposant au minimum de privilèges de rédacteur d'exécuter des commandes système arbitraires. Elle est classée haute avec un score de sévérité de 8.8 selon le CVSS v3.1.

• SPIP versions antérieures à 4.4.21 ;
• SPIP versions antérieures à 4.4.20 ;
• SPIP versions antérieures à 4.4.18, uniquement pour les installations utilisant une base de données SQLite.