CVE-2017-15879

Wysokie

Opublikowano: 24/10/2017(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

W KeystoneJS przed wersją 4.0.0-beta.7 występuje podatność na atak CSV Injection, która może być wykorzystana poprzez niewłaściwie obsługiwane wartości w eksporcie CSV.

Ocena ryzyka

Atakujący może wstrzykiwać złośliwe formuły do plików CSV, co może prowadzić do nieautoryzowanego wykonania makr w aplikacjach takich jak Excel, narażając organizację na utratę danych lub inne zagrożenia.

Rekomendacja

Zaleca się aktualizację KeystoneJS do wersji 4.0.0-beta.7 lub nowszej, aby usunąć tę podatność oraz wdrożenie odpowiednich filtrów walidacyjnych dla danych eksportowanych do CSV.

Inne podatności w KeystoneJS

CVE-2017-16570Wysokie
KeystoneJS w wersjach przed 4.0.0-beta.7 umożliwia obejście ochrony CSRF w aplikacji poprzez usunięcie parametru i wartości CSRF. Problem ten polega na tym, że nie odrzuca żądań, które nie zawierają nagłówka x-csrf-token.

Oryginalny opis (angielski, źródło NVD)

CSV Injection (aka Excel Macro Injection or Formula Injection) exists in admin/server/api/download.js and lib/list/getCSVData.js in KeystoneJS before 4.0.0-beta.7 via a value that is mishandled in a CSV export.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS