CVE-2026-104070 · CVSS 9.8 · The Crayons plugin for SPIP before 3.5.0 contains a missing authorization vulnerability that allows unauthenticated attackers to modify …

NVD (CVSS crítico) · 6 oct, 19:17

El plugin Crayons para SPIP anterior a 3.5.0 contiene una vulnerabilidad de autorización faltante que permite a atacantes no autenticados modificar campos arbitrarios omitiendo el parámetro anti-forgery secu_ en crayons_store.php. Los atacantes pueden encadenar este fallo para escribir archivos skeleton maliciosos, divulgar archivos de configuración sensibles y ejecutar código PHP arbitrario como el usuario del servidor web.