PT-2026-37003 · Unknown · Erpgo Saas

Sajibe Kanti · Publicado 2026-05-05 · Atualizado 2026-05-05 · CVE-2023-54348

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas ERPGo SaaS versão 3.9

Descrição Existe um problema onde atacantes autenticados podem executar código arbitrário injetando cargas de fórmulas em campos de nome de fornecedor. Isso ocorre quando fórmulas maliciosas são inseridas no formulário de criação de fornecedor e, posteriormente, executadas quando o arquivo CSV exportado é aberto em aplicativos de planilha.

Recomendações Como medida paliativa temporária, restrinja o uso do formulário de criação de fornecedor ou sanitize as entradas no campo de nome do fornecedor para evitar o uso de caracteres de fórmula até que uma correção esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

Exploit

RCE

Enumeração de Fraquezas

CWE-1236

Identificadores relacionados

CVE-2023-54348

Produtos afetados

Erpgo Saas

Referências · 6

• 🔥 https://exploit-db.com/exploits/51220 · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2023-54348 · Nota de Segurança
• https://t.me/cveNotify/162161 · Publicação no Telegram
• https://vulncheck.com/advisories/erpgo-saas-csv-injection-via-vendor-creation · Nota
• https://codecanyon.net/item/erpgo-saas-all-in-one-business-erp-with-project-account-hrm-crm-pos/33263426 · Nota
• https://rajodiya.com · Nota