SPIP odt2spip-Plugin: OS-Command-Injection über Dokumentnamen

Zusammenfassung

Das Plugin odt2spip für das Content-Management-System SPIP enthält eine OS-Command-Injection-Schwachstelle im Dokumentimportformular. Ein authentifizierter Autor kann ein Dokument mit einem manipulierten Dateinamen hochladen, der Shell-Metazeichen wie $(id) enthält und unbereinigt an den LibreOffice-Konvertierungsprozess übergeben wird. Dadurch lassen sich beliebige Befehle als Benutzer des Webservers ausführen.

Betroffen

• odt2spip-Versionen vor 4.4.0 (das VulnCheck-Advisory führt betroffen bis einschliesslich 4.4.0; die CVE-Beschreibung nennt vor 4.4.0; 4.4.0 gilt als behoben, bis die Herstellerseite dies bestätigt)
• Voraussetzung: installiertes odt2spip-Plugin auf einer SPIP-Site und ein Benutzer mit Autorenrechten (redacteur)

Behoben in

• odt2spip 4.4.0 (veröffentlicht am 07.10.2026)

Umgehung

• Plugin odt2spip deaktivieren, bis das Update auf 4.4.0 eingespielt werden kann
• Autorenkonten auf vertrauenswürdige Benutzer beschränken

Ausnutzung

• Keine bestätigte Ausnutzung in freier Wildbahn bekannt; nicht im CISA-KEV-Katalog aufgeführt
• VulnCheck beschreibt ein Proof-of-Concept-Modul für die gesamte Angriffskette; die öffentliche Verfügbarkeit ist unbestätigt
• VulDB gibt an, dass kein Exploit existiert; CISA SSVC bewertet die Ausnutzung als keine, die Automatisierbarkeit als nein und die technischen Auswirkungen als total

Unsere Empfehlung

• Prüfen, ob auf SPIP-Sites das Plugin odt2spip installiert ist und welche Version läuft
• odt2spip auf 4.4.0 oder neuer aktualisieren, nach Bestätigung der Korrektur auf plugins.spip.net; falls das Update verzögert ist, das Plugin deaktivieren
• Konten mit Autorenrechten prüfen und einschränken, da ein Angreifer ein solches Konto benötigt
• Web-Server- und Upload-Logs auf ungewöhnliche Dateinamen oder unerwartete Kindprozesse des Webservers prüfen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• odt2spip plugin page (SPIP) plugins.spip.net
• VulnCheck advisory www.vulncheck.com
• VulnCheck blog www.vulncheck.com
• Chocapikk write-up chocapikk.com
• VulDB entry vuldb.com
• Strix CVE entry www.strix.ai
• OSV Ubuntu entry osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 04:23.