CVE-2025-60852: CSV-инъекция в Instant Developer Foundation (< 25.0.9600) – Подтверждение концепции (PoC)

📌 Обзор

Этот репозиторий содержит подтверждение концепции (PoC) для уязвимости CSV-инъекции (инъекции формул) (CVE-2025-60852), затрагивающей приложения, созданные с использованием фреймворка Instant Developer Foundation (версии до 25.0.9600). Приложения, созданные с использованием уязвимого фреймворка, не выполняют надлежащую очистку пользовательского ввода при экспорте данных в формат CSV.

В результате табличные процессоры, такие как Microsoft Excel или LibreOffice Calc, интерпретируют определённые значения как формулы.

Затронутое ПО

Фреймворк: Instant Developer Foundation (framework)
Затронутые версии: < 25.0.9600
Статус исправления: Исправлено в версии 25.0.9600.

Детали уязвимости

Наблюдаемое поведение:

Значения, начинающиеся с «+» или «-», напрямую отражаются в экспортируемом CSV-файле и интерпретируются как формулы при открытии в табличных процессорах, таких как Microsoft Excel или LibreOffice Calc.
Значения, начинающиеся с «=», заключаются в кавычки, что указывает на частичное, но недостаточное смягчение.

Возможные последствия

Локальное выполнение команд (через DDE в Excel)
Эксфильтрация данных (через HYPERLINK)
Манипуляция данными в таблицах

Подтверждение концепции (PoC)

Вставьте следующий пейлоад в любое поле ввода, контролируемое пользователем.

Пейлоад

+CMD|' /C calc'!A0

Когда экспортированный CSV-файл открывается в Excel с включённым DDE launch , пейлоад запускает выполнение calc.exe в Windows.

Шаги воспроизведения

Вставьте указанный выше пейлоад в любое поле ввода, контролируемое пользователем, внутри таблицы, которую можно экспортировать в CSV-формат (в приложении, созданном с Instant Developer Foundation < 25.0).
Экспортируйте таблицу в CSV.

:/images/CSV_Injection_1.png

Откройте экспортированный CSV-файл в Microsoft Excel или LibreOffice Calc.
Если в Excel включён DDE launch, запускается системный калькулятор (calc.exe).

:/images/CSV_Injection_2.png

🔗 Документация по запуску DDE в Excel

Примечания к выпуску

🔗 Примечания к выпуску: Instant Developer Foundation — версия 25.0.9600

Отказ от ответственности

Этот PoC создан строго в образовательных и исследовательских целях.
Не используйте его против систем или приложений без явного разрешения.
Автор не несёт ответственности за любое неправомерное использование этого материала.

CSV-Injection-in-Instant-Developer-Foundation-25.0-PoC

Популярное