CVE-2022-3393

CSV Injection w pluginie Post To CSV by BestWebSoft dla WordPress

CVSS 9.8v3.1pub. 2022-10-25upd. 2025-05-07

Plugin WordPress 'Post to CSV by BestWebSoft' w wersji do 1.4.0 włącznie jest podatny na atak CSV injection z powodu nieprawidłowej obsługi znaków specjalnych podczas eksportu danych. Podatność otrzymała ocenę krytyczną (CVSS 9.8) ze względu na brak wymagań uwierzytelnienia i możliwość wykonania złośliwego kodu po stronie ofiary.

▸ Pokaż oryginał (EN)

The Post to CSV by BestWebSoft WordPress plugin through 1.4.0 does not properly escape fields when exporting data as CSV, leading to a CSV injection

🤖 Analiza AI

Jak działa

Plugin nie dokonuje prawidłowego escapowania pól podczas generowania pliku CSV z danymi. Atakujący może wstrzyknąć do treści postów lub innych pól formuły zaczynające się od znaków specjalnych (np. '=', '+', '-', '@'), które są interpretowane jako polecenia przez arkusze kalkulacyjne (Microsoft Excel, LibreOffice Calc). Gdy administrator lub inny użytkownik otworzy wyeksportowany plik CSV w podatnej aplikacji, osadzone formuły mogą zostać wykonane w kontekście lokalnym, potencjalnie prowadząc do uruchomienia złośliwych poleceń systemowych lub wycieku danych.

Skutki

Atakujący może doprowadzić do wykonania złośliwych formuł lub poleceń na komputerze osoby otwierającej wyeksportowany plik CSV, co może skutkować przejęciem danych, nieautoryzowanym dostępem do zasobów systemowych lub dalszym kompromitowaniem środowiska ofiary.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się aktualizację pluginu do wersji wyższej niż 1.4.0 oraz unikanie otwierania eksportowanych plików CSV przez administratorów bez wcześniejszej weryfikacji ich zawartości.