CVE-2020-36962
Tendenci 12.3.1 - CSV/ Formula Injection
En resumen
Tendenci 12.3.1 permite que atacantes inyecten fórmulas maliciosas en el campo de mensaje del formulario de contacto que ejecutan comandos cuando alguien abre el archivo CSV exportado en aplicaciones como Excel.
Detalle técnico
La vulnerabilidad existe en el campo de mensaje del formulario de contacto donde la entrada del usuario no se sanitiza antes de la exportación a CSV. Los atacantes inyectan cargas de fórmula (iniciadas con '=') que son interpretadas como comandos ejecutables por aplicaciones de hojas de cálculo, lo que resulta en ejecución de comando arbitrario con los privilegios del usuario que abre el archivo.
Resumen generado y traducido por IA a partir de la descripción oficial.
Tendenci 12.3.1 contains a CSV formula injection vulnerability in the contact form message field that allows attackers to inject malicious formulas during export. Attackers can submit crafted payloads like '=10+20+cmd|' /C calc'!A0' in the message field to trigger arbitrary command execution when the CSV is opened in spreadsheet applications.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N
Productos afectados
Tendenci · Tendenci¿Quieres saber si tu infraestructura está expuesta a esto?
Hablar con TrueHacking →