Philippe Boussin

**Name of the Vulnerable Software and Affected Versions** SPIP versions prior to 4.4.8 **Description** SPIP before version 4.4.8 contains a Cross-Site Scripting (XSS) issue in the private area due to improper handling of iframe tags. The application does not adequately sandbox or escape iframe content within the back-office, which allows an attacker to inject and execute malicious scripts. The vulnerability is not addressed by the SPIP security screen. **Recommendations** Update to SPIP version 4.4.8 or later.

**Name of the Vulnerable Software and Affected Versions** SPIP versions prior to 4.4.8 **Description** SPIP before version 4.4.8 contains a Cross-Site Scripting (XSS) issue in the public area due to inadequate detection of malicious content by the `echapper html suspect()` function. This allows an attacker to inject scripts that execute in a visitor’s browser. The SPIP security screen does not mitigate this issue. **Recommendations** Update to SPIP version 4.4.8 or later.

**Nome do Software Vulnerável e Versões Afetadas** Versões do SPIP anteriores à versão 4.4.8 **Descrição** O aplicativo não manipula corretamente o conteúdo de iframes na área privada, permitindo que um atacante injete e execute scripts maliciosos por meio de tags iframe. O problema ocorre porque o aplicativo não isola em sandbox nem escapa o conteúdo de iframes na área privada. A correção envolve adicionar um atributo sandbox às tags iframe dentro da área privada. O problema não é abordado pela tela de segurança do SPIP. **Recomendações** Atualize para a versão 4.4.8 do SPIP ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Versões do SPIP anteriores à 4.4.8 **Descrição** O SPIP anterior à versão 4.4.8 contém uma vulnerabilidade de Cross-Site Scripting (XSS) na área pública devido à detecção insuficiente de conteúdo malicioso pela função `echapper html suspect()`. Isso permite que um atacante injete scripts que podem ser executados no navegador de um visitante. A tela de segurança do SPIP não mitiga esse problema. **Recomendações** Atualize o SPIP para a versão 4.4.8 ou posterior.