CVE-2026-55452

Nome do Software Vulnerável e Versões Afetadas Snipe-IT versões anteriores a 8.5.0

Descrição Existe um problema onde a função Actionlog::logaction() armazena o cabeçalho User-Agent da requisição, e a função ReportsController::postActivityReport() grava esse valor no CSV do Relatório de Atividade sem a devida neutralização de fórmulas. Isso permite que um usuário autenticado com baixos privilégios armazene um User-Agent semelhante a uma fórmula que pode ser executada quando um visualizador de relatórios abre o CSV exportado em um software de planilha. Trata-se de uma injeção de CSV, que ocorre quando entradas não confiáveis são inseridas em um arquivo CSV e executadas como fórmulas por aplicativos de planilha.

Recomendações Atualizar para a versão 8.5.0.