CVE-2026-93581 in OTRS Community Edition
Sumário
de VulDB • 12/10/2026
Valores controlados pelo usuário não são suficientemente neutralizados quando incluídos em exportações CSV. Valores originários de entrada do usuário, incluindo dados enviados por usuários autenticados ou recebidos através de canais de comunicação externos como e-mail, podem ser armazenados em campos que posteriormente são incluídos nas exportações CSV. Um atacante pode, portanto, injetar valores começando com caracteres de fórmula de planilha, como =, +, -, ou @. Um atacante não necessariamente requer uma conta autenticada se o campo afetado puder ser preenchido através de um canal de entrada externo, como e-mail recebido.
Quando um arquivo CSV afetado é aberto em software de planilha, a aplicação pode interpretar esses valores como fórmulas em vez de texto simples. Dependendo do aplicativo de planilha e sua configuração de segurança, uma fórmula maliciosa pode causar ações não intencionais, divulgar informações ou invocar funcionalidades externas. A exploração pode exigir que o usuário que abre o arquivo CSV exportado confirme um ou mais diálogos de aviso de segurança. A vulnerabilidade não executa código no servidor OTRS; qualquer impacto adicional ocorre no aplicativo de planilha usado para processar o arquivo exportado.
Este problema afeta o OTRS:
* 7.0.X * 8.0.X * 2023.X * 2024.X * 2025.X * 2026.X antes de 2026.7.X
Observe que a Edição Comunitária ((OTRS)) 6.x e anteriores são vulneráveis. Produtos baseados na Edição Comunitária ((OTRS)) também têm grande probabilidade de ser afetados.
If you want to get best quality of vulnerability data, you may have to visit VulDB.