typedefabcd1234ntd/cve-2026-19501-pocPrueba de concepto para la inyección de fórmulas CSV no autenticada en SureForms, que muestra cómo envíos de formularios manipulados activan fórmulas de hoja de cálculo cuando los administradores los exportan.
Sureforms es vulnerable a una vulnerabilidad de inyección CSV no autenticada, donde un atacante puede inyectar una fórmula CSV al enviar un formulario. Esta fórmula se ejecutará cuando el administrador exporte el archivo CSV y lo abra.
Paso 1: Enviar un formulario y luego interceptar la solicitud de envío
Paso 2: Cambiar la línea del cuerpo que incluye una clave "srfm-input..." a
<randomtext>-lbl-<the formula in base 64>: <the content>
Ejemplo:
abcdef-lbl-PTIrNStjbWR8JyAvQyBjYWxjJyFBMA==
Paso 3: Enviar la solicitud de envío y esperar a que el payload se explote cuando el administrador exporte y abra el archivo CSV
Actualizar a la última versión (2.12.3 o posterior) para resolver este problema
Nota
Si este análisis te parece excelente e interesante, puedes contribuirme en mi Github Sponsor.