SPIP < 4.4.9 Cross-Site Scripting in Private Area (Incomplet…(CVE-2026-27474)

概要

SPIP < 4.4.9 Cross-Site Scripting in Private Area (Incomplete Fix)

原文の説明

取得元が公開している説明をそのまま載せています (多くは英語)。

SPIP before 4.4.9 allows Cross-Site Scripting (XSS) in the private area, complementing an incomplete fix from SPIP 4.4.8. The echappe_anti_xss() function was not systematically applied to input, form, button, and anchor (a) HTML tags, allowing an attacker to inject malicious scripts through these elements. This vulnerability is not mitigated by the SPIP security screen.

出典: OSV.dev (Open Source Vulnerabilities) NVD OSV

ディストリビューション別の修正状況

各ディストリビューションが公開している、この CVE の修正パッケージ

Debian DEBIAN-CVE-2026-27474 spip
Ubuntu UBUNTU-CVE-2026-27474 spip

参照URL

advisory github.com
advisory nvd.nist.gov
advisory vulncheck.com
patch blog.spip.net
web git.spip.net