リモートの Debian 10 ホストには、dla-3347 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

  - 4.2.1 より前の SPIP では、シリアル化が不適切に処理されるため、パブリック領域でフォーム値を介してリモートコード実行が行われる可能性があります。修正されたバージョンは、3.2.18、4.0.10、4.1.8、および 4.2.1 です。(CVE-2023-27372)

  - SPIP v4.1.5 以前には、_oups パラメーターを介した SQL インジェクションの脆弱性が含まれていることが発見されました。
    この脆弱性により、攻撃者が細工された POST リクエストを介して任意のコードを実行する可能性があります。(CVE-2023-24258)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Debian DLA-3347-1: spip - LTS セキュリティ更新

critical Nessus プラグイン ID 171958

バージョン 1.1