CVE-2026-86745 in Snipe-IT
Zusammenfassung
von VulDB • 09.09.2026
Snipe-IT ist eine IT Asset Management-Anwendung. In Snipe-IT-Master-Zweigen (master-branch), die nach Version 8.6.3 erstellt wurden (der Code war nie Teil einer getaggten Veröffentlichung), streamt SettingsController::downloadLocationScopingReport den FMCS-Standort-Scope-Fehlanpassungsbericht (GET /admin/settings/location-scoping-report.csv) durch einen nackten fputcsv()-Aufruf, ohne League\Csv\EscapeFormula anzuwenden. Im Gegensatz zu anderen CSV-Exporten, die config('app.escape_formulas') beachten, fehlt diese Schutzmaßnahme hier. Ein authentifizierter Benutzer mit normalen Erstellungs-/Bearbeitungsrechten kann eine Tabellenkalkulationsformel in Freitextfelder einfügen, die im Bericht erscheinen (Artikelname, Asset-Tag, Seriennummer, Firmenname des Artikels oder Standorts, Standortname) und dafür sorgen, dass der Datensatz so FMCS-fehlanpassend ist, dass er im Export enthalten ist. Wenn ein Superuser den Bericht herunterlädt und ihn in Excel, LibreOffice Calc oder Google Sheets mit aktivierter Formelauswertung öffnet (und externe Inhaltswarnungen ignoriert oder deaktiviert), werden Zellen, die mit =, +, -, @, Tabulator oder Wagenrücklauf beginnen, im Kontext der Tabellenkalkulation des Opfers ausgeführt. Dies ermöglicht Datenexfiltration (z. B. über HYPERLINK/WEBSERVICE) bzw. unter Windows Excel die Ausführung legacy DDE-Befehle. Dieses Problem wurde in Version 8.7.0 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.