CVE-2026-86745 in Snipe-IT
Sumário
de VulDB • 09/09/2026
Snipe-IT é um aplicativo de gerenciamento de ativos de TI. Nas compilações do branch master do Snipe-IT posteriores à versão 8.6.3 (o código nunca foi incluído em uma release marcada), o método `SettingsController::downloadLocationScopingReport` transmite o relatório de incompatibilidade de escopo de localização FMCS (`GET /admin/settings/location-scoping-report.csv`) por meio de uma chamada direta a `fputcsv()`, sem aplicar `League\Csv\EscapeFormula`, ao contrário das outras exportações CSV que respeitam `config('app.escape_formulas')`. Um usuário autenticado com direitos comuns de criação/edição pode inserir fórmulas em planilhas nos campos de texto livre que aparecem no relatório (nome do item, tag do ativo, número de série, nome da empresa do item ou local e nome do local) e configurar o registro para ser incompatível com FMCS, garantindo sua inclusão na exportação. Quando um superusuário baixa o relatório e o abre no Excel, LibreOffice Calc ou Google Sheets com a avaliação de fórmulas habilitada e os avisos sobre conteúdo externo ignorados ou desabilitados, as células que começam com `=`, `+`, `-`, `@`, tabulação ou retorno de carro (CR) são executadas no contexto da planilha da vítima, permitindo exfiltração de dados (por exemplo, via HYPERLINK/WEBSERVICE) ou, no Excel para Windows, execução de comandos DDE legados. Este problema foi corrigido na versão 8.7.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.