PT-2026-110927

CVE-2026-109378

Publicado

2026-10-12

Atualizado

2026-10-13

Descrição por

CVSS 4.0

5.3

Média

MétricasAV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:N/VA:N/SC:L/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas SPIP versões anteriores a 4.4.18

Description Atacantes autenticados podem realizar um server-side request forgery (SSRF) ao fornecer uma URL remota, como um documento remoto ou um feed de site sindicado. O problema reside na função recuperer url() em ecrire/inc/distant.php, que segue até 10 redirecionamentos sem revalidar os alvos através da função valider url distante(). Isso permite que as requisições sejam redirecionadas para endereços internos ou link-local, incluindo endpoints de metadados de nuvem.

Recommendations Atualize para a versão 4.4.18 ou posterior.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Ka3N1X

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-918: Server-Side Request Forgery (SSRF)

Identificadores relacionados