CVE-2026-55154 in EspoCRM
Сводка
по VulDB • 15.10.2026
EspoCRM — это приложение для управления взаимоотношениями с клиентами (CRM) с открытым исходным кодом. До версии 9.3.9 файлы application/Espo/Tools/Export/Format/Csv/Processor.php, application/Espo/Tools/Export/Format/Xlsx/OpenSpoutProcessor.php и application/Espo/Tools/Export/Format/Xlsx/PhpSpreadsheetProcessor.php проверяли только первый байт в функции sanitizeCellValue(). Аутентифицированный пользователь с низкими привилегиями мог сохранить текстовое значение, триггер формулы которого предварялся пробелом или управляющим символом, что приводило к тому, что при экспорте в CSV или XLSX отсутствовал префикс одинарной кавычки для нейтрализации формул. Когда пользователь с повышенными привилегиями открывает экспортированный файл и принимает соответствующие предупреждения безопасности табличного процессора, программное обеспечение может игнорировать префикс из пробела или управляющего символа и вычислять ячейку как формулу, что позволяет осуществлять утечку данных наружу, а в устаревших конфигурациях с включенным DDE — выполнять команды. Эта проблема исправлена в версии 9.3.9.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.