Plataforma
php
Componente
interface_traduction_objets
Corregido en
2.2.2
La vulnerabilidad CVE-2026-27745 es una ejecución remota de código (RCE) presente en el plugin interfacetraductionobjets de SPIP, afectando versiones desde 0 hasta 2.2.2. Un atacante autenticado con privilegios de editor puede inyectar código malicioso que se ejecuta a través del motor de plantillas de SPIP. La vulnerabilidad ha sido publicada el 25 de febrero de 2026 y se recomienda actualizar a la versión 2.2.2 para solucionar el problema.
Esta vulnerabilidad permite a un atacante autenticado con permisos de editor ejecutar código arbitrario en el servidor SPIP. El atacante puede inyectar contenido malicioso a través de la interfaz de traducción, aprovechando la falta de filtrado de salida en un campo oculto. Al ser un RCE, el impacto es crítico, ya que el atacante puede comprometer completamente el servidor, robar datos sensibles, modificar el contenido del sitio web o utilizar el servidor como punto de apoyo para ataques a otros sistemas en la red. La ejecución de código arbitrario implica un alto riesgo de daño y pérdida de confidencialidad, integridad y disponibilidad del sistema.
La vulnerabilidad CVE-2026-27745 fue publicada el 25 de febrero de 2026. No se ha añadido a la lista KEV de CISA al momento de la redacción. La probabilidad de explotación se considera media, dado que requiere autenticación y privilegios de editor, pero el impacto es alto. Se desconoce si existen pruebas de concepto (PoC) públicas o campañas de explotación activas, pero la naturaleza de RCE sugiere que podría ser objeto de escaneo y explotación por parte de actores maliciosos.
Websites using SPIP CMS with the interfacetraductionobjets plugin installed and running versions 0–2.2.2 are at risk. This includes websites with custom translation workflows or those that allow editors to directly modify translation data. Shared hosting environments using SPIP are particularly vulnerable as they may not have control over plugin updates.
• wordpress / composer / npm:
grep -r "interface_traduction_objets" /var/www/html/• generic web:
curl -I http://your-spip-site.com/plugins/interface_traduction_objets/• generic web: Examine access logs for POST requests to the translation interface with unusual or potentially malicious data in the form fields.
disclosure
Estado del Exploit
EPSS
0.12% (31% percentil)
CISA SSVC
Vector CVSS
La mitigación principal es actualizar el plugin interfacetraductionobjets a la versión 2.2.2 o superior, donde la vulnerabilidad ha sido corregida. Si la actualización no es inmediatamente posible, se recomienda restringir el acceso a la interfaz de traducción solo a usuarios de confianza. Implementar reglas en un Web Application Firewall (WAF) para detectar y bloquear patrones de inyección de código en los campos de la interfaz de traducción puede proporcionar una capa adicional de protección. Monitorear los logs del servidor SPIP en busca de actividad sospechosa, como la creación de archivos o la ejecución de comandos inesperados, también es crucial.
Actualice el plugin interface_traduction_objets a la versión 2.2.2 o superior. Esta versión corrige la vulnerabilidad de ejecución remota de código. Puede actualizar el plugin a través del panel de administración de SPIP.
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2026-27745 is a Remote Code Execution vulnerability in the SPIP interfacetraductionobjets plugin, allowing authenticated attackers to execute code.
You are affected if you are using SPIP with the interfacetraductionobjets plugin in versions 0–2.2.2.
Upgrade the interfacetraductionobjets plugin to version 2.2.2 or later to resolve the vulnerability.
While no public exploits are currently known, the vulnerability's ease of exploitation suggests it could become a target.
Refer to the official SPIP security advisory for detailed information and updates regarding CVE-2026-27745.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.