SPIP Crayons Plugin: Fehlende Berechtigungsprüfung führt zu RCE ohne Anmeldung
Zusammenfassung
Das Crayons-Plugin für SPIP vor 3.5.0 enthält eine fehlende Berechtigungsprüfung, mit der nicht angemeldete Angreifer bearbeitbare Objektfelder verändern können, indem sie den secu_-Parameter zum Schutz vor Fälschungen in crayons_store.php weglassen. Angreifer können diese Schwachstelle verketten, um eine schädliche .html-Skeleton-Datei zu schreiben, Konfigurationsdateien mit dem Site-Secret auszulesen und einen signierten Ajax-Kontext zu fälschen, um das hochgeladene Skeleton als PHP-Code unter dem Benutzer des Webservers auszuführen. Eine Anmeldung ist nicht erforderlich, und der Angriff kann über das Netzwerk erfolgen.
Betroffen
- SPIP Crayons Plugin in Versionen 0 bis vor 3.5.0
- Unbekannt, ob andere SPIP-Core- oder Plugin-Versionen von dieser CVE betroffen sind
Behoben in
- SPIP Crayons Plugin 3.5.0 (Herstellerwarnung vom 6. Oktober 2026)
- Der Hersteller empfiehlt, Crayons zusammen mit SPIP-Core 4.4.27 zu aktualisieren, und nennt in diesem Release weitere Sicherheitskorrekturen
Umgehung
- Falls ein sofortiges Update nicht möglich ist, das Crayons-Plugin entfernen oder deaktivieren. Dadurch können Funktionen zur direkten Bearbeitung auf der Website ausfallen.
Ausnutzung
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung total
- Nicht im CISA-KEV-Katalog aufgeführt; in den geprüften Quellen nicht als aktiv ausgenutzt gekennzeichnet
- Ein öffentlicher Proof of Concept wird in einem Threat-Intelligence-Bericht erwähnt; dies wurde nicht unabhängig überprüft
Unsere Empfehlung
- Alle SPIP-Websites mit installiertem Crayons-Plugin ermitteln und die Plugin-Version prüfen.
- Crayons umgehend auf Version 3.5.0 aktualisieren, zusammen mit SPIP-Core 4.4.27 wie vom Hersteller empfohlen.
- Falls das Patchen verzögert wird, das Crayons-Plugin deaktivieren.
- Webserver-Logs auf Anfragen an crayons_store.php sowie auf unerwartete .html- oder PHP-Dateien auf dem Webserver prüfen und das Site-Secret nach dem Patchen erneuern.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- SPIP blog: critical security updates for Crayons and Simplog blog.spip.net
- SPIP plugin page: Crayons plugins.spip.net
- VulnCheck advisory: SPIP Crayons plugin authorization bypass RCE www.vulncheck.com
- OpenCVE: CVE-2026-104070 app.opencve.io
- Hacker Wire: CVE-2026-104070 Crayons plugin for SPIP www.thehackerwire.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 03:15.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.