CVE-2024-7954
Exécution de code PHP arbitraire dans le plugin porte_plume de SPIP
- Publié
- 23 août 2024
- Mise à jour
- 22 nov. 2025
- Attribution de CNA
- VulnCheck
- Preuve observée
- 8 août 2026
CVSS primaire
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HÉlevé · 30 prochains jours
- Percentile
- 99,8 %
- Date du modèle
- 17 oct. 2026
EPSS est une estimation statistique, et non une certitude ou une mesure d'impact. Combinez-le avec CVSS, le statut KEV, l'exposition et votre environnement.
Résumé
Le plugin porte_plume utilisé par SPIP avant les versions 4.30-alpha2, 4.2.13 et 4.1.16 est vulnérable à une exécution de code arbitraire. Un attaquant distant et non authentifié peut exécuter du PHP arbitraire en tant qu'utilisateur SPIP en envoyant une requête HTTP spécialement conçue.
Sources
modules/exploits/multi/http/spip_porte_plume_previsu_rce.rb
Metasploit Framework modulesConditions déclarées
- platform: Linux,PHP,Unix,Windows($.exploit_multi/http/spip_porte_plume_previsu_rce.platform)
- verification: check_declared($.exploit_multi/http/spip_porte_plume_previsu_rce.check)
http/cves/2024/CVE-2024-7954.yaml
Nuclei TemplatesConditions déclarées
- network: http($.protocol_keys)
- verification: regex,status,word($.matchers[*].type)
- RCE_CVE-2024-7954-Exploit
Le plugin porte_plume utilisé par SPIP avant les versions 4.30-alpha2, 4.2.13 et 4.1.16 est vulnérable à une exécution de code arbitraire. Un attaquant distant et non authentifié peut exécuter du PHP arbitraire en tant qu'utilisateur SPIP en envoyant une requête HTTP spécialement conçue. (CRITIQUE)
- RCE-CVE-2024-7954Exploit
Exploit pour CVE-2024-7954, une RCE critique dans le plugin porte_plume de SPIP, avec une requête HTTP conçue et un modèle Nuclei pour l'analyse automatisée.
- CVE-2024-7954Exploit
Cet exploit tentera d'exécuter des commandes système sur des cibles SPIP.
- CVE-2024-7954-RCEExploit
Exécution de code à distance non authentifiée dans les versions de SPIP jusqu'à et y compris la 4.2.12
- CVE-2024-7954Exploit
Exploit d'exécution de commande à distance non authentifié pour SPIP CMS 4.2.8 (CVE-2024-7954) avec support proxy et récupération des résultats en direct.
Exploit pour CVE-2024-7954, une exécution de code à distance non authentifiée dans le plugin porte_plume de SPIP, avec un modèle Nuclei et une dork Shodan pour la détection.
Exploitation d'une vulnérabilité d'exécution de code à distance- (CVE-2024-7954)
Les versions de SPIP antérieures à 4.30-alpha2, 4.2.13 et 4.1.16 utilisant le plugin porte_plume présentent une vulnérabilité d'exécution de code arbitraire. Un attaquant distant non authentifié peut exécuter du code PHP arbitraire sous l'identité d'un utilisateur SPIP en envoyant une requête HTTP spécialement conçue.
Utilisation responsable
Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.