CSV-Injection-PoC

CSV-Injection in Addactis IBNRS 3.10.3.107
AV:N/AC:H/PR:L/UI:R/S:C/C:H/I:L/A:L
CVSS: 7.1, Auswirkungsbewertung: 5.3, Ausnutzbarkeitsbewertung: 1.3
Betroffene Komponenten: Projektbeschreibung, Identifikatoren, Name des benutzerdefinierten Dreiecks (innerhalb von Eingabedreiecken) und Parameter des Renditenkurvennamens

Screenshot 1: Einschleusen einer Excel-Formel als Projektbeschreibung, um Notepad zu öffnen

Screenshot 2: Speichern des bösartigen IBNRS-Projekts, das die Formel enthält, als csv_injection_poc.ibnrs

Screenshot 3: Anzeigen des gespeicherten Dateipfads aus Addactis IBNRS

Screenshot 4: Öffnen eines leeren Excel-Dokuments

Screenshot 5: Exportieren der bösartigen .ibnrs-Datei über die Registerkarte Add-Ins in Excel

Screenshot 6: Warten auf das Laden der Datei

Screenshot 7: OS-Befehlsausführungsanforderung nach dem Exportieren des IBNRS-Projekts mit bösartiger Formel

Screenshot 8: Erfolgreiches Öffnen von Notepad und Beobachten, dass die Projektbeschreibung als Excel-Formel interpretiert wird

Screenshot 9: Anzeigen der eingeschleusten Excel-Formel in der Zelle der Projektbeschreibung