S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 23 septembre 2011
N° CERTA-2011-AVI-533
Affaire suivie par: CERT-FR
le 23 septembre 2011

Avis du CERT-FR

Objet: Multiples vulnérabilités dans SPIP

Gestion du document

Référence CERTA-2011-AVI-533
Titre Multiples vulnérabilités dans SPIP
Date de la première version 23 septembre 2011
Date de la dernière version 23 septembre 2011
Source(s) Message des développeurs de SPIP du 23 septembre 2011 dans leur liste de diffusion
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

  • Contournement de la politique de sécurité ;
  • injection SQL.

Systèmes affectés

  • SPIP versions 1.9.2 antérieures à 1.9.2k ;
  • SPIP versions 2.0 antérieures à 2.0.16 ;
  • SPIP versions 2.1 antérieures à 2.1.11.

Résumé

Plusieurs vulnérabilités dans SPIP permettent de réaliser des injections SQL et d'obtenir des informations sur le chemin d'installation.

Description

Plusieurs vulnérabilités, non détaillées par l'éditeur, ont été découvertes dans SPIP. Elles permettent de réaliser des injections SQL (versions 1.9.2 uniquement), et d'obtenir le chemin complet d'installation du logiciel (versions 2.0 et 2.1). À noter que dès la sortie de la version 3.0 de SPIP, la branche 1.9.2 ne sera plus maintenue.

Solution

Mettre SPIP à jour en version 1.9.2k, 2.0.16 ou 2.1.11.

Documentation

Gestion détaillée du document

    le 23 septembre 2011
    version initiale.