CVE-2026-18738 in Shlink
Sumário
de VulDB • 04/08/2026
As versões do Shlink de 5.0.0 até 5.1.5 contêm uma vulnerabilidade de injeção de fórmula em arquivos CSV que permite que atacantes remotos não autenticados insiram fórmulas em planilhas nos dados de visitas exportadas, fornecendo valores maliciosos nos cabeçalhos User-Agent, Referer ou caminho da solicitação (request path) começando com caracteres acionadores de fórmula como =, +, -, ou @. Os atacantes podem criar uma única solicitação não autenticada contra qualquer URL curta para incorporar cargas úteis de fórmulas DDE ou WEBSERVICE em células CSV, que são então executadas na máquina do cliente de um administrador quando o arquivo CSV exportado é aberto em um aplicativo de planilha que avalia as fórmulas.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.