SPIP : une mise à jour critique suivie de correctifs dans la version 4.4.30
Le 5 novembre 2026, l’équipe de maintenance de SPIP a publié la version 4.4.30, au lendemain d’une mise à jour de sécurité critique. Le CERT-FR a également diffusé un avis visant les versions antérieures à 4.4.29. Pour les responsables de sites, ces deux annonces sont complémentaires : la première corrige les failles, la suivante résout plusieurs problèmes apparus lors de cette livraison.
La version 4.4.29 traite notamment des élévations de privilèges, une suppression arbitraire de fichiers après authentification, des injections SQL et des injections de scripts. Certaines injections de scripts après connexion peuvent conduire à une exécution de code à distance ; d’autres sont accessibles avant authentification. L’écran de sécurité ne couvre pas ces failles, souligne le projet. Les bulletins consultés ne donnent ni identifiants CVE ni scores CVSS, et n’établissent pas de campagne d’exploitation de ces nouvelles vulnérabilités.
La 4.4.30 corrige notamment une erreur fatale sur la page de connexion et des erreurs SQL. Les utilisateurs du plugin Memoization doivent le porter au minimum en 4.1.2. Depuis la 4.4.29, les nouveaux mots de passe doivent compter au moins douze caractères. Sauvegarder puis mettre à jour le logiciel et ses composants reste nécessaire : le seul écran de sécurité ne remplace pas ces correctifs.
Sources :
