PT-2020-14318 · Anuko · Anuko Time Tracker

Muffyhub · Publicado 2020-10-16 · Atualizado 2021-11-18 · CVE-2020-15255

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.7

Alta

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do Anuko Time Tracker anteriores à 1.19.23.5325

Descrição

O problema decorre da filtragem inadequada das entradas do usuário, o que pode levar à exportação de um relatório em CSV contendo células que são interpretadas como fórmulas por programas de planilhas. Isso ocorre quando o valor de uma célula começa com um sinal de igual.

Recomendações

Para versões anteriores à 1.19.23.5325, atualize para a versão 1.19.23.5325 para resolver o problema.

Exploit

Correção

Special Elements Injection

RCE

Enumeração de Fraquezas

CWE-74

CWE-1236

Identificadores relacionados

CVE-2020-15255

GHSA-PRJF-9MGH-8FPV

Produtos afetados

Anuko Time Tracker

Referências · 6

• 🔥 http://packetstormsecurity.com/files/159996/Anuko-Time-Tracker-1.19.23.5325-CSV-Injection.html · Exploit
• 🔥 https://exploit-db.com/exploits/49027 · Exploit
• https://github.com/anuko/timetracker/security/advisories/GHSA-prjf-9mgh-8fpv · Nota
• https://github.com/anuko/timetracker/commit/d9472904361495f318c9d0294ffd28acaaeae42f · Correção
• https://osv.dev/vulnerability/CVE-2020-15255 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-15255 · Nota de Segurança