CVE-2026-104070: fallo crítico en SPIP Crayons Plugin

Cómo comprobar si estás afectado

Para determinar si tu instalación de SPIP es vulnerable a CVE-2026-104070, debes verificar la versión del plugin Crayons que tienes desplegada. Según la información publicada, todas las versiones anteriores a 3.5.0 se consideran afectadas. La comprobación debe realizarse en el panel de administración de tu sitio SPIP o directamente en el sistema de archivos del servidor.

El primer paso es identificar la versión exacta del plugin. Puedes hacerlo de las siguientes maneras:

• Desde el panel de administración de SPIP: Accede a la sección de gestión de plugins y localiza «Crayons» en la lista de extensiones instaladas. La versión instalada debería aparecer junto al nombre del plugin.
• Inspeccionando el sistema de archivos: Si tienes acceso al servidor, revisa el directorio del plugin (normalmente plugins/crayons/). Busca el archivo plugin.xml o paquet.xml, que contiene la etiqueta <version> con el número de versión.

Si la versión que encuentras es inferior a 3.5.0, tu instalación es vulnerable. Es importante señalar que la vulnerabilidad no requiere autenticación para ser explotada, por lo que cualquier sitio con una versión afectada está expuesto a ataques remotos. No se han publicado indicadores de compromiso (IOC) estructurados en las fuentes consultadas, por lo que la detección de una posible explotación previa debe basarse en la revisión de logs del servidor web y en la búsqueda de archivos inusuales con extensión .html en el directorio del plugin.

La ausencia de IOC publicados no debe interpretarse como una señal de que el exploit no se esté utilizando activamente. Dada la criticidad (CVSS 9.3) y la facilidad de explotación, se recomienda asumir un escenario de compromiso hasta que se confirme la aplicación de la actualización.

Mitigación y actualización

La acción principal recomendada es revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. El equipo de SPIP ha publicado un aviso de seguridad crítico que aborda esta vulnerabilidad, junto con otra que afecta al plugin Simplog. La referencia oficial es el anuncio en el blog de SPIP, donde se detallan los pasos a seguir.

Las fuentes consultadas indican que la versión 3.5.0 del plugin Crayons es la que corrige el problema. Sin embargo, no se ha publicado información adicional sobre parches intermedios o mitigaciones alternativas que no impliquen la actualización completa. Por lo tanto, la estrategia de mitigación se centra en:

1. Actualizar el plugin Crayons a la versión 3.5.0 o superior en cuanto esté disponible a través del gestor de plugins de SPIP.
2. Revisar el aviso del fabricante en el blog oficial de SPIP para obtener instrucciones específicas y cualquier recomendación adicional que pueda publicarse.
3. Monitorizar los logs del servidor en busca de peticiones anómalas dirigidas a crayons_store.php que omitan el parámetro secu_.

Si no puedes actualizar de inmediato, considera restringir el acceso al plugin mediante reglas de firewall de aplicación web (WAF) o deshabilitando temporalmente el plugin si no es esencial para el funcionamiento del sitio. No obstante, estas son medidas temporales y no sustituyen a la aplicación del parche oficial.

Checklist para administradores

• ☐ Verificar la versión del plugin Crayons instalada en todos los entornos (producción, staging y desarrollo).
• ☐ Confirmar si la versión instalada es anterior a 3.5.0 y, por tanto, afectada por CVE-2026-104070.
• ☐ Revisar el aviso oficial del fabricante en el blog de SPIP y la página del plugin para conocer los detalles del parche.
• ☐ Planificar y ejecutar la actualización del plugin a la versión corregida en un entorno de pruebas antes de aplicarla en producción.
• ☐ Tras la actualización, verificar que el plugin funciona correctamente y que no se han introducido regresiones.
• ☐ Auditar los logs del servidor web en busca de intentos de explotación previos (peticiones a crayons_store.php sin el parámetro secu_).
• ☐ Buscar archivos .html sospechosos en el directorio del plugin y en ubicaciones temporales que puedan indicar la subida de un «skeleton» malicioso.
• ☐ Revisar los archivos de configuración sensibles (especialmente aquellos que contengan el secreto del sitio) para detectar accesos no autorizados.
• ☐ Si se encuentra evidencia de compromiso, rotar el secreto del sitio y las credenciales asociadas.
• ☐ Mantenerse informado sobre futuros avisos de seguridad de SPIP y sus plugins.

Preguntas frecuentes

¿Qué es CVE-2026-104070?

Es una vulnerabilidad crítica de autorización faltante en el plugin Crayons para SPIP, anterior a la versión 3.5.0. Permite a atacantes no autenticados modificar campos de objetos editables y, encadenando varias acciones, ejecutar código PHP arbitrario en el servidor.

¿Cómo se explota esta vulnerabilidad?

El atacante omite el parámetro anti-forgery secu_ en crayons_store.php. Esto provoca que el despachador de autorizaciones resuelva un manejador que siempre devuelve «verdadero» en lugar de realizar la comprobación de modificación adecuada. El atacante puede entonces escribir un archivo .html malicioso, divulgar archivos de configuración con el secreto del sitio y forjar un contexto ajax firmado para ejecutar el archivo subido.

¿Qué impacto tiene en mi sitio?

El impacto es crítico: un atacante puede lograr ejecución de código arbitrario como el usuario del servidor web. Esto implica la posibilidad de comprometer completamente el sitio, acceder a datos sensibles, modificar contenido o utilizar el servidor como punto de partida para otros ataques.

¿Estoy afectado si uso SPIP pero no el plugin Crayons?

No. La vulnerabilidad está específicamente en el plugin Crayons. Si no lo tienes instalado, no estás afectado por esta CVE concreta. Sin embargo, se recomienda revisar el aviso de SPIP, ya que menciona también una actualización crítica para el plugin Simplog.

¿Existe algún parche o actualización disponible?

Sí. El fabricante ha publicado un aviso de seguridad y la versión 3.5.0 del plugin corrige la vulnerabilidad. Se recomienda aplicar esta actualización a la mayor brevedad posible.

¿Cómo puedo saber si mi sitio ya ha sido comprometido?

Las fuentes consultadas no publican indicadores de compromiso (IOC) específicos. Debes revisar los logs del servidor en busca de peticiones anómalas a crayons_store.php y buscar archivos .html inusuales en el directorio del plugin. También es recomendable comprobar la integridad de los archivos de configuración que contengan el secreto del sitio.