CVE-2026-86742 in Snipe-IT
Zusammenfassung
von VulDB • 09.09.2026
Snipe-IT bis Version 8.6.3 neutralisiert keine Formelelemente im CSV-Export des Berichts „nicht akzeptierte Assets“. ReportsController::postAssetAcceptanceReport erstellt die CSV-Datei manuell (durch Entfernen von Kommas und manuelles Zusammenfügen der Zeilen) und wendet, anders als bei den sechs weiteren Exporten desselben Controllers, weder League\Csv\EscapeFormula noch die Konfigurationseinstellung config('app.escape_formulas') an. Ein authentifizierter Benutzer mit geringen Berechtigungen und normalen Erstellungs-/Bearbeitungsrechten für jeden Datensatz, dessen Freitextfelder im Bericht erscheinen (Asset-Name/Tag, Firmenname, Kategorie, Modell oder Anzeigename des Zugeteilten), kann ein solches Feld auf einen Wert setzen, der mit =, +, -, @, Tabulator oder CR beginnt. Wenn ein Benutzer mit reports.view-Berechtigungen den Export anfordert (POST /reports/unaccepted_assets) für eine ausstehende Checkout-Akzeptanz, die den vergifteten Datensatz referenziert, und die resultierende CSV-Datei in Excel, LibreOffice Calc oder Google Sheets öffnet, wird der injizierte Inhalt im Kontext des Tabellenkalkulationsprogramms des Downloaders als Formel ausgewertet. Dies ermöglicht Data Exfiltration (z. B. über HYPERLINK/WEBSERVICE) oder unter legacy Windows Excel-Konfigurationen die Ausführung von DDE-Befehlen. Behebt in Version 8.7.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.