远程 Debian 10 主机上安装的程序包受到 dla-3347 公告中提及的一个漏洞影响。

  - 4.2.1 之前的 SPIP 允许通过公共区域中的表单值执行远程代码，这是因为序列化处理不当。修复后的版本为 3.2.18、4.0.10、4.1.8 和 4.2.1。(CVE-2023-27372)

  - 在 SPIP v4.1.5 及更早版本中发现通过 _oups 参数引致的 SQL 注入漏洞。
    此漏洞允许攻击者通过构建的 POST 请求执行任意代码。(CVE-2023-24258)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Debian DLA-3347-1：spip - LTS 安全更新

critical Nessus 插件 ID 171958

版本 1.1