CVE-2023-33410
Publicada em · Atualizada em
Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.
Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.
O Minical 1.0.0 e versões anteriores permitem que atacantes injetem código malicioso no campo Nome do Cliente, que é incluído em arquivos CSV. Quando aberto em um aplicativo de planilha, isso pode executar comandos no computador da vítima.
Uma vulnerabilidade de injeção CSV no campo Nome do Cliente do módulo Contábil não valida adequadamente a entrada, permitindo que um atacante crie cargas de trabalho com fórmulas que executam quando o CSV é aberto em software de planilha. Requer que a vítima abra o arquivo CSV gerado, mas uma vez aberto, permite execução arbitrária de código.