CVE-2026-50179
ŚrednieCVSS 4.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
W narzędziu Actual do 26.6.0 funkcje eksportu do CSV nie neutralizują formuł, co pozwala na wstrzyknięcie złośliwych formuł (np. zaczynających się od =, +, -) do plików CSV. Po otwarciu w Excelu, LibreOffice Calc lub Arkuszach Google formuły te są wykonywane, umożliwiając wyciek danych transakcji i manipulację wyświetlanymi wartościami.
Ocena ryzyka
Atakujący może wstrzyknąć formuły do eksportowanych danych finansowych, które po otwarciu przez ofiarę w arkuszu kalkulacyjnym mogą wykraść poufne dane transakcji lub zmienić wygląd arkusza, co stanowi ryzyko dla poufności i integralności danych.
Rekomendacja
Należy natychmiast zaktualizować Actual do wersji 26.6.0 lub nowszej, która zawiera poprawkę neutralizującą prefiksy formuł w eksporcie CSV.
Oryginalny opis (angielski, źródło NVD)
Actual is a local-first personal finance tool. Prior to 26.6.0, exportToCSV and exportQueryToCSV in packages/loot-core/src/server/transactions/export/export-to-csv.ts pass user-controlled Payee, Notes, Account, and Category strings to csv-stringify with no cast callback and no formula-prefix neutralization. Strings that begin with equals sign, plus, minus, at sign, tab, or carriage return survive verbatim into the exported CSV, and when a recipient opens the file in Excel, LibreOffice Calc, or Google Sheets, the strings are interpreted as formulas, enabling transaction data exfiltration and attacker-chosen spreadsheet display values. This issue is fixed in version 26.6.0.