CVE-2023-47295

CSV Injection w NCR Terminal Handler umożliwia wykonanie dowolnych poleceń

CVSS 9.8v3.1pub. 2025-06-23upd. 2025-06-25

NCR Terminal Handler v1.5.1 zawiera podatność typu CSV injection (CWE-1236), pozwalającą atakującemu na wykonanie dowolnych poleceń systemowych. Podatność jest krytyczna ze względu na brak wymaganych uprawnień i możliwość zdalnego wykorzystania bez interakcji użytkownika.

▸ Pokaż oryginał (EN)

A CSV injection vulnerability in NCR Terminal Handler v1.5.1 allows attackers to execute arbitrary commands via injecting a crafted payload into any text field that accepts strings.

🤖 Analiza AI

Jak działa

Atakujący wstrzykuje specjalnie spreparowany payload do dowolnego pola tekstowego akceptującego ciągi znaków w aplikacji NCR Terminal Handler. Dane te są następnie eksportowane lub przetwarzane w formacie CSV bez odpowiedniej sanityzacji, co prowadzi do wykonania osadzonych formuł lub poleceń — na przykład przez arkusz kalkulacyjny lub inny parser CSV otwierający wygenerowany plik. Mechanizm ten jest klasycznym przykładem ataku formula injection, gdzie złośliwe dane wejściowe są interpretowane jako instrukcje przez oprogramowanie przetwarzające CSV.

Skutki

Atakujący może wykonać dowolne polecenia w kontekście systemu lub aplikacji przetwarzającej zainfekowany plik CSV, co może prowadzić do pełnego przejęcia kontroli nad systemem, ujawnienia poufnych danych lub naruszenia integralności i dostępności usług.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Do czasu aktualizacji zaleca się ograniczenie dostępu do pól tekstowych aplikacji wyłącznie do zaufanych użytkowników oraz wdrożenie walidacji i sanityzacji danych wejściowych po stronie serwera, blokującej znaki specjalne charakterystyczne dla formuł CSV (np. =, +, -, @).