CVE-2022-22121: falha de alta gravidade em nocodb
NocoDB - CSV Injection in User Management
Publicada em · Atualizada em
Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.
Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.
O NocoDB permite que atacantes com baixo privilégio injetem código malicioso em arquivos CSV através de dados de tabelas. Quando um administrador exporta e abre o arquivo em uma aplicação de planilha, o código é executado automaticamente.
Vulnerabilidade de injeção CSV no NocoDB 0.81.0–0.83.8 permite que usuários com baixo privilégio injetem payloads de fórmula em linhas de tabelas. Quando administradores exportam dados de gerenciamento de usuários como CSV e abrem em aplicações de planilha, as fórmulas são executadas com privilégios de admin, possibilitando execução arbitrária de código ou exfiltração de dados.
No mesmo produto, das mais perigosas para as menos.