CVE-2021-3188

CSV Injection w phpList 3.6.0 poprzez parametr email i eksport danych

CVSS 9.8v3.1pub. 2021-01-26upd. 2024-11-21

phpList w wersji 3.6.0 jest podatny na CSV injection (znany również jako Formula Injection), który pozwala atakującemu na osadzenie złośliwych formuł w plikach eksportowanych przez panel administracyjny. Podatność jest sklasyfikowana jako krytyczna ze względu na potencjalnie poważne skutki dla integralności i poufności danych.

▸ Pokaż oryginał (EN)

phpList 3.6.0 allows CSV injection, related to the email parameter, and /lists/admin/ exports.

🤖 Analiza AI

Jak działa

Atakujący może wprowadzić specjalnie spreparowane dane w polu email (np. podczas zapisu do listy mailingowej), które zawierają znaki inicjujące formuły arkusza kalkulacyjnego (np. =, +, -, @). Gdy administrator systemu eksportuje dane subskrybentów przez panel /lists/admin/, złośliwe formuły trafiają do wygenerowanego pliku CSV bez odpowiedniej sanityzacji. Po otwarciu takiego pliku w aplikacji arkusza kalkulacyjnego (np. Microsoft Excel, LibreOffice Calc) formuły mogą zostać automatycznie wykonane.

Skutki

Atakujący może doprowadzić do wykonania poleceń systemowych na komputerze administratora otwierającego zainfekowany plik CSV, a także do kradzieży danych lub dalszej kompromitacji systemu po stronie klienta.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się weryfikację i sanityzację danych wejściowych w polach formularzy przed zapisem do bazy danych oraz ostrożność przy otwieraniu eksportowanych plików CSV w aplikacjach arkusza kalkulacyjnego.