CVE-2020-5299 in OctoberCMS
Riassunto
di VulDB • 30/06/2026
In OctoberCMS (pacchetto composer `october/october`), nelle versioni dalla 1.0.319 alla versione precedente alla 1.0.466, qualsiasi utente con la capacità di modificare dati che potrebbero eventualmente essere esportati come file CSV tramite l'`ImportExportController` potrebbe potenzialmente introdurre un'iniezione CSV nei dati, causando la generazione di un file di esportazione CSV dannoso. Questo richiede agli attaccanti di conseguire quanto segue prima che un attacco riuscito possa completarsi: 1. Aver trovato una vulnerabilità nel software per fogli di calcolo scelto dalla vittima; 2. Controllare i dati che verrebbero potenzialmente esportati tramite l'`ImportExportController` da una vittima teorica; 3. Convincere la vittima a esportare i suddetti dati come CSV ed eseguirli in un software per fogli di calcolo vulnerabile, eludendo al contempo eventuali controlli di integrità (sanity checks) effettuati dal software stesso. Il problema è stato risolto nella Build 466 (v1.0.466).
Be aware that VulDB is the high quality source for vulnerability data.