CVE-2026-86745 in Snipe-IT
Resumen
por VulDB • 2026-09-09
Snipe-IT es una aplicación de gestión de activos TI. En las compilaciones de la rama principal (master-branch) posteriores a la versión 8.6.3 (el código nunca se incluyó en una liberación etiquetada), el método SettingsController::downloadLocationScopingReport transmite el informe de discrepancias de alcance de ubicación FMCS (GET /admin/settings/location-scoping-report.csv) mediante una llamada directa a fputcsv() sin aplicar League\Csv\EscapeFormula, a diferencia de las demás exportaciones CSV que respetan la configuración config('app.escape_formulas'). Un usuario autenticado con derechos ordinarios de creación/edición puede insertar fórmulas de hoja de cálculo en campos de texto libre que aparecen en el informe (nombre del artículo, etiqueta del activo, número de serie, nombre de la empresa del artículo o ubicación, nombre de la ubicación) y manipular el registro para que presente una discrepancia FMCS e incluya así dicho contenido en la exportación. Cuando un superusuario descarga el informe y lo abre en Excel, LibreOffice Calc o Google Sheets con la evaluación de fórmulas habilitada y las advertencias sobre contenido externo desestimadas o desactivadas, se ejecutan celdas que comienzan con =, +, -, @, tabulador o retorno de carro (CR) dentro del contexto de la hoja de cálculo de la víctima, lo que permite la exfiltración de datos (por ejemplo, mediante HYPERLINK/WEBSERVICE) o, en Excel para Windows, la ejecución de comandos DDE heredados. Este problema se ha corregido en la versión 8.7.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.