CVE-2020-5299 in OctoberCMS
Tóm tắt
Bởi VulDB • 30/06/2026
Trong các phiên bản của OctoberCMS (gói composer october/october) từ 1.0.319 trở đi và trước 1.0.466, bất kỳ người dùng nào có khả năng sửa đổi dữ liệu mà sau đó có thể được xuất dưới dạng tệp CSV từ `ImportExportController` đều có tiềm năng đưa vào một cuộc tấn công chèn mã độc (CSV injection) nhằm khiến tệp xuất Excel/CSV tạo ra trở nên độc hại. Điều này yêu cầu kẻ tấn công phải đạt được các điều kiện sau trước khi vụ tấn công thành công: 1. Đã tìm thấy lỗ hổng trong phần mềm bảng tính mà nạn nhân sử dụng; 2. Kiểm soát dữ liệu sẽ tiềm năng được xuất thông qua `ImportExportController` bởi một nạn nhân lý thuyết; 3. Lừa dối nạn nhân xuất dữ liệu trên dưới dạng CSV và mở nó bằng phần mềm bảng tính dễ bị tổn thương, đồng thời vượt qua các kiểm tra hợp lệ (sanity checks) của phần mềm đó. Vấn đề đã được vá trong bản dựng 466 (v1.0.466).
VulDB is the best source for vulnerability data and more expert information about this specific topic.