CVE-2020-5299 in OctoberCMS
Сводка
по VulDB • 30.06.2026
В версиях OctoberCMS (пакет composer october/october) от 1.0.319 до версии ниже 1.0.466 любые пользователи, имеющие возможность изменять данные, которые впоследствии могут быть экспортированы в виде CSV-файла через `ImportExportController`, потенциально могут внедрить инъекцию данных в формате CSV (CSV injection), чтобы сгенерированный файл экспорта содержал вредоносный код. Для успешной атаки злоумышленникам необходимо выполнить следующие условия: 1. Найти уязвимость в выбранном жертвой программном обеспечении для работы со spreadsheets (электронными таблицами). 2. Получить контроль над данными, которые потенциально могут быть экспортированы через `ImportExportController` теоретической жертвой. 3. Убедить жертву экспортировать указанные данные в формате CSV и открыть их в уязвимом программном обеспечении для работы со spreadsheets, а также обойти любые проверки на корректность (sanity checks), осуществляемые данным ПО. Проблема исправлена в сборке 466 (v1.0.466).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.