typedefabcd1234ntd/cve-2026-19501-pocProva de conceito para injeção de fórmulas CSV não autenticada no SureForms, mostrando que submissões de formulários elaboradas disparam fórmulas de planilha quando exportadas por administradores.
O Sureforms é vulnerável a uma vulnerabilidade de injeção de CSV não autenticada, na qual um atacante pode injetar uma fórmula de CSV ao enviar um formulário. Essa fórmula será executada quando o administrador exportar o arquivo CSV e abri-lo.
Passo 1: Envie um formulário e então intercepte a requisição de envio
Passo 2: Altere a linha do corpo que inclui uma chave "srfm-input..." para
<randomtext>-lbl-<the formula in base 64>: <the content>
Exemplo:
abcdef-lbl-PTIrNStjbWR8JyAvQyBjYWxjJyFBMA==
Passo 3: Envie a requisição de envio e aguarde o payload ser explorado quando o administrador exportar e abrir o arquivo CSV
Atualize para a versão mais recente (2.12.3 ou posterior) para resolver este problema
Nota
Se você achou este write-up ótimo e interessante, você pode me apoiar no meu Github Sponsor.