CVE-2026-104070

Nome do Software Vulnerável e Versões Afetadas Crayons plugin for SPIP versões anteriores a 3.5.0

Description Uma falha de autorização ausente permite que atacantes não autenticados modifiquem campos arbitrários de objetos editáveis. Isso ocorre quando o parâmetro anti-falsificação secu é omitido no endpoint 'crayons store.php', fazendo com que o despachante de autorização resolva um manipulador incondicionalmente verdadeiro em vez de realizar a verificação de modificação adequada. Esta falha pode ser encadeada para gravar um arquivo de esqueleto .html malicioso, expor arquivos de configuração sensíveis contendo o segredo do site e forjar um contexto ajax assinado para executar o esqueleto carregado, resultando na execução de código PHP arbitrário como o usuário do servidor web.

Recommendations Atualize o Crayons plugin for SPIP para a versão 3.5.0 ou posterior.