CVE-2026-86742 in Snipe-IT
요약
\~에 의해 VulDB • 2026. 09. 09.
Snipe-IT 버전 8.6.3 이전에서는 "미수락 자산" 승인 보고서 CSV 내보내기 시 수식 요소를 중립화하지 않습니다. ReportsController::postAssetAcceptanceReport는 콤마를 제거하고 행을 수동으로 연결하는 방식으로 CSV를 직접 생성하며, 동일한 컨트롤러의 다른 6개 내보내기와 달리 League\Csv\EscapeFormula를 적용하거나 config('app.escape_formulas') 설정을 준수하지 않습니다. 모든 레코드에 대해 기본 작성/편집 권한이 있는 인증된 저권한 사용자는 보고서에 나타나는 자유 텍스트 필드(자산 이름/태그, 회사명, 카테고리, 모델 또는 담당자 표시 이름) 중 하나를 =, +, -, @, 탭(CR 포함)으로 시작하는 값으로 설정할 수 있습니다. reports.view 권한을 가진 사용자가 대기 중인 체크아웃 승인을 참조하는 poisoned 레코드에 대한 내보내기(POST /reports/unaccepted_assets)를 요청하고 결과 CSV 파일을 Excel, LibreOffice Calc 또는 Google Sheets에서 열면, 주입된 콘텐츠가 다운로드자의 스프레드시트 컨텍스트에서 수식으로 평가되어 데이터 유출(HYPERLINK/WEBSERVICE 등)이나 레거시 Windows Excel 구성에서는 DDE 명령 실행이 가능해집니다. 8.7.0에서 수정되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.