ismailcemunver/cve-2024-29375Preuve de concept pour l'injection CSV dans Addactis IBNRS 3.10.3.107, démontrant l'injection de formule Excel conduisant à l'exécution de commandes OS via des paramètres de projet conçus.
Injection CSV dans Addactis IBNRS 3.10.3.107
AV:N/AC:H/PR:L/UI:R/S:C/C:H/I:L/A:L
CVSS: 7.1, Score d'impact: 5.3, Score d'exploitation: 1.3
Composants affectés : paramètres Description du projet, Identifiants, Nom du triangle personnalisé (dans Triangles d'entrée) et Nom de la courbe de rendement
Capture d'écran 1 : Injection d'une formule Excel comme description du projet afin d'ouvrir le Bloc-notes
Capture d'écran 2 : Enregistrement du projet IBNRS malveillant contenant la formule sous le nom csv_injection_poc.ibnrs
Capture d'écran 3 : Affichage de l'emplacement du fichier enregistré depuis Addactis IBNRS
Capture d'écran 4 : Ouverture d'un document Excel vide
Capture d'écran 5 : Exportation du fichier .ibnrs malveillant via l'onglet Compléments dans Excel
Attente du chargement du fichier
Capture d'écran 7 : Requête d'exécution de commande OS après l'exportation du projet IBNRS avec une formule malveillante
Capture d'écran 8 : Ouverture réussie du Bloc-notes et constatation que la description du projet est interprétée comme une formule Excel
Capture d'écran 9 : Affichage de la formule Excel injectée dans la cellule Description du projet
