CVE-2026-86742

Nome do Software Vulnerável e Versões Afetadas Snipe-IT versões anteriores a 8.7.0

Description Existe um problema onde elementos de fórmula não são neutralizados na exportação de CSV do relatório de aceitação de ativos não aceitos. A função postAssetAcceptanceReport() no ReportsController constrói o CSV manualmente sem aplicar a neutralização de fórmulas ou respeitar a configuração app.escape formulas. Um usuário autenticado com baixos privilégios pode injetar valores começando com =, +, -, @, tab ou CR em campos de texto livre, como nome do ativo, tag, nome da empresa, categoria, modelo ou nome de exibição do cessionário. Quando um usuário com privilégios de reports.view solicita a exportação através do endpoint 'POST /reports/unaccepted assets' e abre o arquivo em softwares de planilha como Excel, LibreOffice Calc ou Google Sheets, o conteúdo injetado é executado como uma fórmula. Isso pode levar à exfiltração de dados através de funções como HYPERLINK ou WEBSERVICE, ou à execução de comandos DDE (Dynamic Data Exchange) em configurações legadas do Excel para Windows.

Recommendations Atualizar para a versão 8.7.0.