CVE-2020-36962mediumCWE-1236

CVE-2020-36962: falha de média gravidade em Tendenci

Tendenci 12.3.1 - CSV/ Formula Injection

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar tendenci+ Monitorar tendenci

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

18Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 5.3epss 12%
Em resumo

O Tendenci 12.3.1 permite que atacantes injetem fórmulas maliciosas no campo de mensagem do formulário de contato que executam comandos quando alguém abre o arquivo CSV exportado em aplicações como Excel.

Detalhe técnico

A vulnerabilidade ocorre no campo de mensagem do formulário de contato onde a entrada do usuário não é sanitizada antes da exportação em CSV. Atacantes injetam cargas úteis de fórmula (começando com '=') que são interpretadas como comandos executáveis por aplicações de planilha, resultando em execução de comando arbitrário com privilégios do usuário que abre o arquivo.

Resumo gerado e traduzido por IA a partir da descrição oficial.
Tendenci 12.3.1 contains a CSV formula injection vulnerability in the contact form message field that allows attackers to inject malicious formulas during export. Attackers can submit crafted payloads like '=10+20+cmd|' /C calc'!A0' in the message field to trigger arbitrary command execution when the CSV is opened in spreadsheet applications.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N
Produtos afetados
Tendenci · Tendenci