Avis du CERT-FR

Json

Objet : Multiples vulnérabilités dans SPIP

Gestion du document

Référence	CERTA-2011-AVI-533
Titre	Multiples vulnérabilités dans SPIP
Date de la première version	23 septembre 2011
Date de la dernière version	23 septembre 2011
Source(s)	Message des développeurs de SPIP du 23 septembre 2011 dans leur liste de diffusion

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

Contournement de la politique de sécurité
Injection SQL

Systèmes affectés

SPIP versions 1.9.2 antérieures à 1.9.2k ;
SPIP versions 2.0 antérieures à 2.0.16 ;
SPIP versions 2.1 antérieures à 2.1.11.

Résumé

Plusieurs vulnérabilités dans SPIP permettent de réaliser des injections SQL et d'obtenir des informations sur le chemin d'installation.

Description

Plusieurs vulnérabilités, non détaillées par l'éditeur, ont été découvertes dans SPIP. Elles permettent de réaliser des injections SQL (versions 1.9.2 uniquement), et d'obtenir le chemin complet d'installation du logiciel (versions 2.0 et 2.1). À noter que dès la sortie de la version 3.0 de SPIP, la branche 1.9.2 ne sera plus maintenue.

Solution

Mettre SPIP à jour en version 1.9.2k, 2.0.16 ou 2.1.11.

Documentation

Page de téléchargement de SPIP :
http://www.spip.net/fr_download

Gestion détaillée du document

Date	Description
23 septembre 2011	version initiale.