CVE-2025-60852: Iniezione CSV in Instant Developer Foundation (< 25.0.9600) – Prova di concetto (PoC)

📌 Panoramica

Questo repository contiene una prova di concetto (PoC) per una vulnerabilità di iniezione CSV (Formula Injection) (CVE-2025-60852) che interessa le applicazioni realizzate con il framework Instant Developer Foundation (versioni precedenti alla 25.0.9600). Le applicazioni costruite con il framework vulnerabile non sanitizzano correttamente l'input fornito dall'utente quando esportano dati in formato CSV.

Di conseguenza, i software di fogli di calcolo come Microsoft Excel o LibreOffice Calc interpretano determinati valori come formule.

---

Software interessato

• Framework: Instant Developer Foundation (framework)
• Versioni interessate: < 25.0.9600
• Stato della patch: Corretto nella versione 25.0.9600.

---

Dettagli della vulnerabilità

Comportamento osservato:

• I valori che iniziano con “+” o “-” vengono riportati direttamente nel file CSV esportato e sono interpretati come formule quando vengono aperti in software di fogli di calcolo come Microsoft Excel o LibreOffice Calc.
• I valori che iniziano con “=” vengono racchiusi tra virgolette, suggerendo una mitigazione parziale ma insufficiente.

Impatti potenziali

• Esecuzione locale di comandi (tramite DDE di Excel)
• Esfiltrazione di dati (tramite HYPERLINK)
• Manipolazione dei dati nei fogli di calcolo

---

Prova di concetto (PoC)

Inserire il seguente payload in qualsiasi campo di input controllabile dall'utente.

Payload

+CMD|' /C calc'!A0

Quando il file CSV esportato viene aperto in Excel con avvio DDE abilitato, il payload attiva l'esecuzione di calc.exe su Windows.

Passaggi per riprodurre

1. Inserire il payload sopra indicato in qualsiasi campo di input controllabile dall'utente all'interno di una tabella che può essere esportata in formato CSV (in un'applicazione creata con Instant Developer Foundation < 25.0).

2. Esportare la tabella in formato CSV.

3. Aprire il file CSV esportato in Microsoft Excel o LibreOffice Calc.

4. Se l'avvio DDE è abilitato in Excel, viene eseguita la calcolatrice di sistema (calc.exe).

🔗 Documentazione sull'avvio DDE in Excel

Note di rilascio

🔗 Note di rilascio: Instant Developer Foundation - Versione 25.0.9600

---

Disclaimer

Questa PoC è stata creata esclusivamente per scopi educativi e di ricerca.
Non utilizzare questo materiale contro sistemi o applicazioni senza un'autorizzazione esplicita.
L'autore non si assume alcuna responsabilità per un uso improprio di questo materiale.