CVE-2026-72709

Nome do Software Vulnerável e Versões Afetadas SPIP versões anteriores a 4.4.18

Descrição Uma falha de autorização existe em ações sensíveis localizadas no endpoint 'ecrire/action/'. Atacantes não autenticados podem invocar ações privilegiadas fornecendo um nonce CSRF (Cross-Site Request Forgery) válido—um token único usado para evitar requisições não autorizadas—sem que o servidor realize as verificações de permissão necessárias. Ao enviar requisições HTTP diretas, atacantes podem ignorar as proteções de autorização no nível de template para executar ações como editer auteur(), permitindo a redefinição de senhas de qualquer conta, incluindo administradores, resultando no controle total da conta.

Recomendações Atualize para a versão 4.4.18 ou posterior.