CVE-2019-17661highCWE-1236

CVE-2019-17661

Publicada em · Atualizada em

Seguir esta CVE

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

21Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 8.8epss 2.4%
Em resumo

O plugin Admin Columns tem um problema de segurança onde um usuário malicioso pode adicionar fórmulas perigosas ao seu nome. Se outro usuário baixar esses dados em CSV e abrir no Excel, a fórmula executa e pode prejudicar o computador.

Detalhe técnico

Vulnerabilidade de injeção CSV no Admin Columns 3.4.6 permite que usuários autenticados injetem código de fórmula (como =cmd|'/c calc'!A0) em campos de nome de usuário. Quando administradores exportam os dados em CSV e abrem em aplicações de planilha, a fórmula é executada com os privilégios do usuário, podendo resultar em execução remota de código no sistema da vítima.

Resumo gerado e traduzido por IA a partir da descrição oficial.
A CSV injection in the codepress-admin-columns (aka Admin Columns) plugin 3.4.6 for WordPress allows malicious users to gain remote control of other computers. By choosing formula code as his first or last name, an attacker can create a user with a name that contains malicious code. Other users might download this data as a CSV file and corrupt their PC by opening it in a tool such as Microsoft Excel. The attacker could gain remote access to the user's PC.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Produtos afetados
n/a · n/a