CVE-2026-47705
KrytyczneCVSS 9.6Streszczenie
TypeBot w wersji 3.16.1 ma podatność CSV Injection w funkcji eksportu wyników. Aplikacja nie sanityzuje ani nie escapuje danych wprowadzanych przez użytkownika podczas generowania plików CSV. Atakujący może wstrzyknąć formuły arkusza kalkulacyjnego do pól wejściowych, które są następnie wykonywane, gdy administrator otworzy wyeksportowany plik CSV w oprogramowaniu takim jak Microsoft Excel lub LibreOffice Calc. Wersja 3.17.0 naprawia ten problem.
Ocena ryzyka
Ryzyko polega na tym, że administrator może przypadkowo wykonać złośliwe formuły w arkuszu kalkulacyjnym, co może prowadzić do wycieku danych lub dalszego zainfekowania systemu. Atak wymaga interakcji administratora, ale może być wykorzystany do kradzieży danych lub rozprzestrzeniania złośliwego oprogramowania.
Rekomendacja
Zaleca się natychmiastową aktualizację TypeBot do wersji 3.17.0 lub nowszej. Dodatkowo, administratorzy powinni zachować ostrożność przy otwieraniu plików CSV z nieznanych źródeł i rozważyć użycie oprogramowania, które nie wykonuje formuł automatycznie.
Oryginalny opis (angielski, źródło NVD)
TypeBot is a chatbot builder tool. Version 3.16.1 has a CSV injection vulnerability in the result export functionality. The application does not sanitize or escape user-supplied input when generating CSV files. An attacker can inject spreadsheet formulas into input fields, which are later executed when an administrator opens the exported CSV in spreadsheet software such as Microsoft Excel or LibreOffice Calc. Version 3.17.0 patches the issue.