CVE-2026-86745 in Snipe-IT
要約
〜によって VulDB • 2026年09月09日
Snipe-ITは、IT資産管理アプリケーションです。Snipe-ITのmasterブランチビルド（バージョン8.6.3以降）では、コードがタグ付きリリースに含まれていないものの、SettingsController::downloadLocationScopingReportメソッドがFMCSロケーションスコーピング不整合レポート(GET /admin/settings/location-scoping-report.csv)を出力する際、League\Csv\EscapeFormulaを適用せずに単なるfputcsv()呼び出しでストリーミングしています。これは他のCSVエクスポート（config('app.escape_formulas')の設定に従う）とは対照的です。通常の作成/編集権限を持つ認証済みユーザーは、レポートに含まれる自由テキストフィールド（アイテム名、アセットタグ、シリアル番号、アイテムまたはロケーションの会社名、ロケーション名など）にスプレッドシート数式を挿入し、レコードがFMCS不整合状態になるように設定することでエクスポート対象とすることができます。スーパーユーザーがこのレポートをダウンロードし、外部コンテンツ警告を無効化または解除した上で数式評価が有効なExcel、LibreOffice Calc、Google Sheetsで開くと、=、+、-、@、タブ、CRで始まるセルが被害者のスプレッドシートコンテキスト内で実行され、データ漏洩（例：HYPERLINK/WEBSERVICE）や、Windows版Excelでは従来のDDEコマンドの実行が可能になります。この問題はバージョン8.7.0で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.