[Рекомендуемое описание] В Sourcecodester Event Registration App v1.0 обнаружено несколько уязвимостей внедрения CSV в полях First Name, Contact и Remarks. Эти уязвимости позволяют злоумышленникам выполнять произвольный код с помощью специально сформированного Excel-файла.

[Дополнительная информация] Доказательство концепции: https://drive.google.com/file/d/17rSb8GLFPQfqnVFI56AYffbVMDg8z75t/view?usp=sharing Домашняя страница вендора: https://www.sourcecodester.com/javascript/15214/event-registration-app-export-csv-javascript-free-source-code.html Ссылка на ПО: https://www.sourcecodester.com/sites/default/files/download/oretnom23/registration.zip

[Тип уязвимости: прочее] CSV-инъекция

[Поставщик продукта] Sourcecodester

[Затронутый продукт (кодовая база)] Event Registration App with Export to CSV in JavaScript - 1.0

[Затронутый компонент] Исходный код

[Тип атаки] Удалённая

[Воздействие: выполнение кода] true

[Векторы атаки] Чтобы воспользоваться этой уязвимостью, злоумышленнику необходимо вставить формулу Excel в поля First Name, Contact и Remarks, затем нажать Save, затем Export to CSV, а затем нажать Downloaded CSV в Excel. Как только злоумышленник откроет загруженный CSV-файл в Excel, полезная нагрузка выполнится.

[Ссылка] https://drive.google.com/file/d/17rSb8GLFPQfqnVFI56AYffbVMDg8z75t/view?usp=sharing https://www.sourcecodester.com/javascript/15214/event-registration-app-export-csv-javascript-free-source-code.html https://www.sourcecodester.com/sites/default/files/download/oretnom23/registration.zip

[Обнаружил] RashidKhan Pathan

Используйте CVE-2022-44830.

CVE-2022-44830

Популярное