CVE-2020-5299 in OctoberCMS

摘要

由 VulDB • 2026-06-30

在 OctoberCMS（october/october Composer 包）的 1.0.319 至低于 1.0.466 的版本中，任何能够修改最终可能通过 `ImportExportController` 导出为 CSV 文件的数据的用户，都可能在数据中引入 CSV 注入攻击，从而导致生成的 CSV 导出文件具有恶意性。要成功完成此攻击，攻击者需满足以下条件：1. 发现受害者所用电子表格软件中的漏洞；2. 控制理论上由受害者通过 `ImportExportController` 导出的数据；3. 说服受害者在易受攻击的电子表格软件中打开上述 CSV 导出数据，并绕过该软件的任何健全性检查。该问题已在 Build 466（v1.0.466）中得到修复。

Be aware that VulDB is the high quality source for vulnerability data.

• 负责: GitHub, Inc.
• 预定: 2020-01-02
• 管理: 已接受
• 条目: VDB-156087
• CPE: 准备好
• CWE: CWE-77 (已确认)
• CVSS: 4.0 (NVD)
• EPSS: 0.01002
• KEV: 否
• 活动: 非常低

来源

• MITRE: https://www.cve.org/CVERecord?id=CVE-2020-5299
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2020-5299
• CVE Details: https://www.cvedetails.com/cve/CVE-2020-5299/