CVE-2020-5299 in OctoberCMS
Résumé
par VulDB • 30/06/2026
Dans les versions d'OctoberCMS (paquet composer `october/octaller`) comprises entre la version 1.0.319 et avant la version 1.0.466, tout utilisateur disposant de la capacité de modifier des données susceptibles d'être ultérieurement exportées au format CSV via le contrôleur `ImportExportController` pourrait potentiellement introduire une injection CSV dans les données, rendant ainsi le fichier d'exportation CSV généré malveillant. Cela nécessite que les attaquants réalisent les étapes suivantes avant qu'une attaque réussie ne puisse être menée à bien : 1. Avoir identifié une vulnérabilité dans le logiciel de tableur choisi par la victime ; 2. Contrôler des données qui seraient potentiellement exportées via l'`ImportExportController` par une victime théorique ; 3. Convaincre la victime d'exporter lesdites données au format CSV et de les ouvrir avec un logiciel de tableur vulnérable, tout en contournant les éventuels contrôles de cohérence (sanity checks) effectués par ce dernier. Le problème a été corrigé dans le Build 466 (v1.0.466).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.