CVE-2026-86745 in Snipe-IT
Сводка
по VulDB • 09.09.2026
Snipe-IT — это приложение для управления ИТ-активами. В сборках ветки master Snipe-IT после версии 8.6.3 (код никогда не включался в помеченные релизы) метод SettingsController::downloadLocationScopingReport передает отчет о несоответствии масштабирования локаций FMCS (GET /admin/settings/location-scoping-report.csv) через базовый вызов fputcsv() без применения League\Csv\EscapeFormula, в отличие от других экспортов CSV, которые учитывают config('app.escape_formulas'). Аутентифицированный пользователь с обычными правами на создание/редактирование может поместить формулу электронной таблицы в текстовые поля свободного формата, отображаемые в отчете (название элемента, тег актива, серийный номер, название компании для элемента или локации, название локации), и настроить запись так, чтобы она попадала под несоответствие FMCS и включалась в экспорт. Когда суперпользователь скачивает отчет и открывает его в Excel, LibreOffice Calc или Google Sheets с включенной оценкой формул и отключенными предупреждениями о внешнем содержимом (или после их игнорирования), ячейки, начинающиеся с символов =, +, -, @, табуляции или возврата каретки, выполняются в контексте электронной таблицы жертвы, что позволяет осуществлять эксфильтрацию данных (например, через HYPERLINK/WEBSERVICE) или, на Windows Excel, выполнять команды DDE устаревшего формата. Эта проблема исправлена в версии 8.7.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.