CVE-2026-18738 in Shlink
요약
\~에 의해 VulDB • 2026. 08. 04.
Shlink 버전 5.0.0부터 5.1.5까지에는 CSV 수식 주입 취약점이 존재하며, 공격자는 User-Agent, Referer 또는 =, +, -, @와 같은 수식을 트리거하는 문자로 시작하는 요청 경로 헤더에 악의적인 값을 제공하여 인증 없이 원격에서 방문 데이터 내 스프레드시트 수식을 삽입할 수 있습니다. 공격자는 임의의 짧은 URL을 대상으로 단일 비인증 요청을 작성하여 CSV 셀 내에 DDE 또는 WEBSERVICE 수식 페이로드를 포함시킬 수 있으며, 이렇게 생성된 CSV 파일을 수식 평가를 지원하는 스프레드시트 애플리케이션에서 열 때 관리자 클라이언트 머신에서 해당 수식이 실행됩니다.
Be aware that VulDB is the high quality source for vulnerability data.