CVE-2026-86745

Nome do Software Vulnerável e Versões Afetadas Snipe-IT versões 8.6.4 até 8.6.x

Descrição Existe um problema na função SettingsController::downloadLocationScopingReport onde o relatório de incompatibilidade de escopo de localização FMCS é transmitido através do endpoint '/admin/settings/location-scoping-report.csv' usando uma chamada fputcsv() simples. Este processo não aplica o LeagueCsvEscapeFormula, ignorando a configuração app.escape formulas. Um usuário autenticado com permissões de criação ou edição pode injetar fórmulas de planilha em campos de texto livre, como nome do item, tag do ativo, serial, nome da empresa do item ou local, e nome do local. Se um superusuário baixar este relatório e abri-lo em softwares como Excel, LibreOffice Calc ou Google Sheets com a avaliação de fórmulas habilitada, células que começam com =, +, -, @, tab ou CR serão executadas. Isso pode levar à exfiltração de dados via funções HYPERLINK ou WEBSERVICE, ou execução de comandos DDE legados no Windows Excel.

Recomendações Atualizar para a versão 8.7.0.