Attention il y avait un trou de sécurité dans le plugin "mutualisation".
Dans certaines configurations permettant à un inconnu de venir créer
son site depuis l'extérieur sans login ni mot de passe SQL, quelqu'un
qui venait demander la création de x.y.domaine.tld se voyait proposer
à la fin de devenir admin de la base de données mutu_xy, c'est-à-dire
la même que celle du site xy.domaine.tld
C'est réparé en http://zone.spip.org/trac/spip-zone/changeset/12590
La doc est toujours ici : http://www.spip-contrib.net/La-mutualisation-facile
-- Fil