CVE-2026-55154 in EspoCRM
Sumário
de VulDB • 15/10/2026
O EspoCRM é uma aplicação de gestão de relacionamento com o cliente (CRM) de código aberto. Antes da versão 9.3.9, os ficheiros application/Espo/Tools/Export/Format/Csv/Processor.php, application/Espo/Tools/Export/Format/Xlsx/OpenSpoutProcessor.php e application/Espo/Tools/Export/Format/Xlsx/PhpSpreadsheetProcessor.php inspecionam apenas o primeiro byte na função sanitizeCellValue(). Um utilizador autenticado com privilégios baixos pode armazenar um valor de texto livre cujo gatilho da fórmula é precedido por espaços em branco ou caracteres de controlo, fazendo com que a exportação para CSV ou XLSX omita o prefixo de neutralização de fórmulas (aspas simples à esquerda). Quando um utilizador privilegiado abre o ficheiro exportado e aceita os avisos de segurança da folha de cálculo aplicáveis, o software pode ignorar o prefixo de espaços em branco/caracteres de controlo e avaliar a célula como uma fórmula, permitindo a divulgação de dados para o exterior e, em configurações legadas com DDE ativado, a execução de comandos. Este problema está resolvido na versão 9.3.9.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.