Franck Chevalier

Uma injeção de SQL cega não autenticada existe na camada de escape SQL. Este problema permite que atacantes injetem SQL arbitrário ao fornecer um valor parametrizado `annee` manipulado, consistindo em um caractere de palavra seguido por um parêntese aberto, o que ignora o escape para colunas do tipo data nos backends MySQL, SQLite e PostgreSQL. A falha pode ser explorada através do critério `annee` no template `sitemap.xml.html` para executar payloads baseados em tempo ou booleanos. Isso pode levar à extração de conteúdo arbitrário do banco de dados, incluindo o segredo `alea ephemere` usado para assinar nonces de ação, e pode ser encadeado para alcançar a execução remota de código (RCE).

Uma falha de autorização existe em ações sensíveis localizadas no endpoint 'ecrire/action/'. Atacantes não autenticados podem invocar ações privilegiadas fornecendo um nonce CSRF (Cross-Site Request Forgery) válido—um token único usado para evitar requisições não autorizadas—sem que o servidor realize as verificações de permissão necessárias. Ao enviar requisições HTTP diretas, atacantes podem ignorar as proteções de autorização no nível de template para executar ações como `editer auteur()`, permitindo a redefinição de senhas de qualquer conta, incluindo administradores, resultando no controle total da conta.

Um problema de atribuição em massa existe na ação `editer objet`. Atacantes não autenticados podem gravar linhas arbitrárias em qualquer tabela SQL que não possua uma lista de permissões `champs editables`, fornecendo um parâmetro `arg` controlado que resolve para tabelas internas do banco de dados. Isso permite que um atacante insira uma linha maliciosa na fila `spip jobs` contendo uma função PHP e argumentos específicos. Quando o processo cron processa a fila, a função injetada é executada dinamicamente, resultando em execução remota de código.