CVE-2026-86745 in Snipe-IT
요약
\~에 의해 VulDB • 2026. 09. 09.
Snipe-IT는 IT 자산 관리 애플리케이션입니다. Snipe-IT의 master-branch 빌드 중 버전 8.6.3 이후(해당 코드는 태그된 릴리스에 포함되지 않음)에서 SettingsController::downloadLocationScopingReport 메서드는 League\Csv\EscapeFormula를 적용하지 않고 단순히 fputcsv() 호출을 통해 FMCS 위치 스코핑 불일치 보고서(GET /admin/settings/location-scoping-report.csv)를 스트림합니다. 이는 config('app.escape_formulas')를 준수하는 다른 CSV 내보내기 작업과 대조됩니다. 일반적인 생성/편집 권한을 가진 인증된 사용자는 보고서(아이템 이름, 자산 태그, 시리얼 번호, 아이템 또는 위치 회사명, 위치명)에 나타나는 자유 텍스트 필드에 스프레드시트 수식을 삽입하고 해당 레코드가 FMCS 불일치 상태로 설정되도록 하여 내보내기에 포함될 수 있도록 할 수 있습니다. 슈퍼유저가 보고서를 다운로드하여 Excel, LibreOffice Calc 또는 Google Sheets에서 수식 평가가 활성화되고 외부 콘텐츠 경고가 해제되거나 비활성화된 상태에서 열면, =, +, -, @, 탭 문자로 시작하거나 CR(캐리지 리턴)을 포함하는 셀이 피해자의 스프레드시트 컨텍스트에서 실행되어 데이터 유출(HYPERLINK/WEBSERVICE 등) 또는 Windows Excel의 경우 레거시 DDE 명령어 실행이 가능해집니다. 이 문제는 버전 8.7.0에서 해결되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.