CVE-2023-33410
Publicada el · Actualizada el
Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.
Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.
Minical 1.0.0 y versiones anteriores permiten a atacantes inyectar código malicioso a través del campo Nombre del Cliente, que se incluye en archivos CSV. Cuando se abre en una aplicación de hojas de cálculo, puede ejecutar comandos en la computadora de la víctima.
Una vulnerabilidad de inyección CSV en el campo Nombre del Cliente del módulo Contable carece de validación de entrada, permitiendo que un atacante construya cargas con fórmulas que se ejecutan cuando el CSV se abre en software de hojas de cálculo. Requiere que la víctima abra el archivo CSV generado, pero una vez abierto, es posible la ejecución arbitraria de código en el sistema.