CVE-2020-36962mediumCWE-1236

CVE-2020-36962: fallo de gravedad media en Tendenci

Tendenci 12.3.1 - CSV/ Formula Injection

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear tendenci+ Monitorear tendenci

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

18Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 5.3epss 12%
En resumen

Tendenci 12.3.1 permite que atacantes inyecten fórmulas maliciosas en el campo de mensaje del formulario de contacto que ejecutan comandos cuando alguien abre el archivo CSV exportado en aplicaciones como Excel.

Detalle técnico

La vulnerabilidad existe en el campo de mensaje del formulario de contacto donde la entrada del usuario no se sanitiza antes de la exportación a CSV. Los atacantes inyectan cargas de fórmula (iniciadas con '=') que son interpretadas como comandos ejecutables por aplicaciones de hojas de cálculo, lo que resulta en ejecución de comando arbitrario con los privilegios del usuario que abre el archivo.

Resumen generado y traducido por IA a partir de la descripción oficial.
Tendenci 12.3.1 contains a CSV formula injection vulnerability in the contact form message field that allows attackers to inject malicious formulas during export. Attackers can submit crafted payloads like '=10+20+cmd|' /C calc'!A0' in the message field to trigger arbitrary command execution when the CSV is opened in spreadsheet applications.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N
Productos afectados
Tendenci · Tendenci