CVE-2026-86742 in Snipe-IT
Riassunto
di VulDB • 09/09/2026
Snipe-IT fino alla versione 8.6.3 non neutralizza gli elementi delle formule nell'esportazione CSV del report degli asset "non accettati". ReportsController::postAssetAcceptanceReport genera il file CSV manualmente (rimuovendo le virgole e unendo le righe in modo manuale) e, a differenza dei sei esportatori correlati nello stesso controller, non applica mai League\Csv\EscapeFormula né rispetta l'impostazione config('app.escape_formulas'). Un utente autenticato con privilegi bassi e diritti ordinari di creazione/modifica su qualsiasi record i cui campi testuali liberi appaiono nel report (nome/tag dell'asset, nome della società, categoria, modello o nome visualizzato del destinatario) può impostare uno di tali campi a un valore che inizia con =, +, -, @, tabulazione o CR. Quando un utente con privilegi reports.view richiede l'esportazione (POST /reports/unaccepted_assets) per una richiesta di accettazione in sospeso che fa riferimento al record compromesso e apre il CSV risultante in Excel, LibreOffice Calc o Google Sheets, i contenuti inseriti vengono valutati come formule nel contesto del foglio elettronico dell'utente, consentendo l'esfiltrazione dei dati (ad esempio tramite HYPERLINK/WEBSERVICE) oppure, su configurazioni legacy di Windows Excel, l'esecuzione di comandi DDE. Risolto nella versione 8.7.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.