(9.8分) CVE-2026-104070：SPIP插件未授权RCE

红队安全圈
红队安全圈

红队安全圈

2026年10月7日 09:05
重庆

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

SPIP 的 Crayons 插件爆出 CVSS 9.8 关键漏洞：无需登录即可绕过授权，最终拿到任意 PHP 代码执行。用 SPIP 的站点今天得把这篇看完。

01  漏洞速览

漏洞编号CVE-2026-104070

影响产品SPIP Crayons 插件 < 3.5.0

漏洞类型CWE-862 缺失授权校验

危害等级Critical（CVSS 9.8）

攻击前提无需认证，网络可达即可

最终危害以 web 用户身份执行任意 PHP

02  漏洞成因

Crayons 是 SPIP 的前端编辑插件，允许站点点页面上直接改内容，改动通过 crayons\store.php 保存。正常流程里，每次保存请求都要带一个 secu\ 前缀的防伪参数，用来证明这次改动来自合法的页面会话。

问题出在授权分发逻辑上：当请求里干脆不带这个 secu\_ 参数时，代码没有走\"拒绝请求\"的分支，而是落到了一个无条件返回 true 的处理路径上——等于跳过了真正的修改权限检查。结果就是任何未认证的访问者都能直接调用保存接口，改写任意可编辑对象的字段。

这是很典型的\"校验参数缺失被当成放行条件\"的坑：防伪参数本该是必须存在的硬性门槛，实现时却让\"没有参数\"走进了默认放行的兜底分支。写授权逻辑时，默认分支必须是拒绝，这地方值得每个写后端的人记一笔。

03  利用分析：从改字段到 RCE

公开信息里没有完整 PoC，但漏洞描述已经把利用链讲清楚了，可以据此推演攻击路径。单看\"改字段\"似乎危害有限，SPIP 的利用链妙在每一步都为下一步铺路：

第一步：写入恶意 skeleton 文件。SPIP 的模板体系用 .html skeleton 文件渲染页面，其中部分内容支持通过编辑接口落盘。攻击者先利用字段改写能力，把带 PHP 代码的 skeleton 内容写到服务器上。

第二步：拿站点密钥。光有文件还不够，SPIP 的 ajax 上下文需要签名校验。利用链里还包含敏感配置文件泄露，能读到包含站点 secret 的配置——拿到 secret 就能自己伪造合法签名。

第三步：伪造签名上下文，触发执行。用泄露的 secret 伪造带签名的 ajax 上下文，让服务端把刚写入的恶意 skeleton 当作代码执行，最终以 web 服务器用户身份实现任意 PHP 代码执行。

整条链不需要任何账号，攻击复杂度低（AV:N/AC:L/PR:N/UI:N），从打点到 getshell 中间没有需要绕的人工关卡。对暴露在公网的 SPIP 站点来说，这就是\"上线即靶子\"级别的漏洞。

04  检测与排查

先确认装没装、版本多少。查插件目录：

cat plugins/crayons/paquet.xml \

| grep version

版本低于 3.5.0 即受影响。再查日志里对 crayons\store.php 的异常 POST——尤其是不带 secu\ 参数的请求，一旦出现基本可以判定有人试过这个洞：

grep crayons\_store.php \

access.log | grep -v secu\_

同时排查站点下有无时间异常的 .html skeleton 文件、配置文件是否被读取过。已经有 Webshell 痕迹的，按失陷处理，不要只补丁了事。

05  修复建议

官方已发布安全更新，Crayons 插件升级到 3.5.0 及以上即可修复（同批更新还涉及 Simplog 插件，装了的也一起升）。SPIP 后台插件管理页可直接升级，或从插件官方页下载新版本覆盖。

暂时升不了的，最小化缓解是把 crayons\store.php 的访问限制到管理网段，或者干脆临时停用 Crayons 插件——前端编辑功能停几个小时，比被人拿 shell 划算得多。修复后可以发一个不带 secu\ 参数的保存请求验证，应返回拒绝而非成功。

06  红队视角

SPIP 在实战里是个不错的突破口：法语文档站、政府机构、高校网站用得不少，很多运维更新意识一般，公网上暴露量不小。这个洞无认证、低复杂度、有明确的 RCE 终点，一旦利用细节或 PoC 流出，大概率会出现在批量扫描器里，留给防守方的时间窗口很短。

攻击路径设计也值得学习：不追求一步 getshell，而是\"写文件 + 偷密钥 + 伪造签名\"三步接力，每一步都借系统自己的机制，痕迹分散、单看一步都不像攻击。做代码审计时，授权分发的兜底分支、以及\"可写文件 + 可控密钥\"的组合，都是重点排查对象。

资产侧建议立刻用空间测绘搜一下自己名下的 SPIP 站点，低于 3.5.0 的今天之内处理掉。后续如果有公开 PoC 出现，我会跟进更新。

如果文章对您有收获，欢迎关注、点赞、推荐、转发。

— END —