CVE-2026-27744: Plugin SPIP Tickets: injeção de código e execução remota sem autenticação

Visão geral

O plugin SPIP Tickets, usado no sistema de gerenciamento de conteúdo SPIP, é afetado pela CVE-2026-27744. Segundo o registro, as versões do plugin anteriores a 4.3.3 tratam parâmetros de requisição não confiáveis na função de pré-visualização de fórum em páginas públicas de tickets de forma que permite injeção de código (CWE-94). O registro descreve a falha como execução remota de código sem autenticação.

Impacto

A descrição indica que o conteúdo injetado é avaliado pela cadeia de processamento de templates do SPIP, o que pode levar à execução de código no contexto do servidor web.
A NVD registra pontuação base CVSS 3.1 de 9,8, com severidade crítica. O vetor indicado descreve vetor de ataque pela rede, baixa complexidade, nenhum privilégio exigido, nenhuma interação do usuário e alto impacto em confidencialidade, integridade e disponibilidade.
Como o ataque não exige autenticação, a exposição das páginas públicas de tickets é o principal fator de avaliação de risco.

Produtos e versões afetadas

Produto registrado nas fontes: Spip Tickets.
Intervalo afetado registrado: anteriores a 4.3.3.
A referência de correção aponta para um commit de correção no repositório de extensões do SPIP. O registro usa 4.3.3 como limite da versão corrigida.
O registro não informa se outras linhas de versão ou releases mais antigos recebem correções separadas.

Status de exploração

CISA KEV: o registro indica que a vulnerabilidade não está listada no KEV. Nenhuma exploração ativa confirmada aparece nas fontes consultadas.
Os dados SSVC do registro classificam a exploração como prova de conceito e automatizável como sim. Isso indica que material público de prova de conceito é considerado possível, mas não é evidência de exploração em ambiente real.
Uma análise técnica de terceiros está listada nas referências. Este portal não reproduz detalhes técnicos.

Correção e mitigação

Atualize o plugin SPIP Tickets para a versão 4.3.3 ou uma versão posterior, já que o registro indica que a falha está corrigida a partir desse limite.
Revise o commit de correção indicado no registro para confirmar que a alteração foi aplicada na sua instalação.
Enquanto a atualização não for aplicada, limite a exposição das páginas públicas de tickets quando isso for operacionalmente viável e revise o inventário de plugins de todos os sites SPIP.

Orientações de detecção

Revise os logs do servidor web e da aplicação em busca de requisições incomuns para caminhos de tickets e de pré-visualização de fórum, especialmente com parâmetros inesperados ou muito longos.
Monitore a criação ou modificação inesperada de arquivos na instalação do SPIP, incluindo diretórios de cache e de templates.
Trate qualquer atividade de processo inexplicada na conta do servidor web como possível sinal de comprometimento e acione a resposta a incidentes.

Limitações das informações disponíveis

O registro não descreve todas as condições de exploração, o caminho exato do código vulnerável nem a lista completa de versões do núcleo SPIP testadas.
Não é possível saber, a partir do registro, se há correções retroportadas para outras linhas suportadas.
A entrada EPSS tem data posterior à data de publicação. Isso deve ser verificado na fonte EPSS antes de usar o dado para priorização.
Sem confirmação do fornecedor sobre todas as configurações afetadas, os administradores devem validar as próprias implantações.

Perguntas frequentes

O que é a CVE-2026-27744?

É uma vulnerabilidade crítica de injeção de código sem autenticação no plugin SPIP Tickets, registrada como permitindo execução remota de código no contexto do servidor web para versões anteriores a 4.3.3.

Qual versão corrige o problema?

O registro usa 4.3.3 como limite da versão corrigida e aponta para um commit de correção. Os administradores devem atualizar para a 4.3.3 ou uma versão posterior.

Há exploração ativa conhecida?

O registro indica que a falha não está listada no KEV da CISA, e nenhuma exploração ativa confirmada aparece nas fontes consultadas. Os dados SSVC classificam a exploração como prova de conceito.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.