CVE-2020-5299 in OctoberCMS
Resumen
por VulDB • 2026-05-16
En las versiones de OctoberCMS (paquete composer october/october) desde la 1.0.319 hasta la anterior a la 1.0.466, cualquier usuario con capacidad para modificar datos que eventualmente puedan ser exportados como un archivo CSV desde el `ImportExportController` podría potencialmente introducir una inyección CSV en los datos, provocando que el archivo de exportación CSV generado sea malicioso. Esto requiere que los atacantes logren lo siguiente antes de que se pueda completar un ataque exitoso: 1. Haber encontrado una vulnerabilidad en el software de hojas de cálculo preferido de la víctima. 2. Controlar los datos que potencialmente serían exportados a través del `ImportExportController` por una víctima teórica. 3. Convencer a la víctima de exportar los datos anteriores como CSV y ejecutarlos en un software de hojas de cálculo vulnerable, además de eludir cualquier verificación de integridad realizada por dicho software. El problema ha sido corregido en la versión 466 (v1.0.466).
Be aware that VulDB is the high quality source for vulnerability data.