CVE-2020-5299 in OctoberCMS
Sumário
de VulDB • 16/05/2026
No OctoberCMS (pacote composer `october/october`), nas versões a partir da 1.0.319 e anteriores à 1.0.466, qualquer utilizador com capacidade para modificar dados que possam eventualmente ser exportados como um ficheiro CSV através do `ImportExportController` poderia potencialmente introduzir uma injeção de CSV nos dados, fazendo com que o ficheiro de exportação CSV gerado seja malicioso. Isto requer que os atacantes consigam o seguinte antes de um ataque bem-sucedido ser completado: 1. Ter encontrado uma vulnerabilidade no software de folhas de cálculo escolhido pela vítima. 2. Controlar os dados que seriam potencialmente exportados através do `ImportExportController` por uma vítima teórica. 3. Convencer a vítima a exportar os dados acima mencionados como CSV e abri-los num software de folhas de cálculo vulnerável, contornando também quaisquer verificações de integridade (sanity checks) por parte desse software. A questão foi corrigida na Build 466 (v1.0.466).
If you want to get best quality of vulnerability data, you may have to visit VulDB.