PT-2026-44192 · Npm · Json-2-Csv

Ilsaf Nabiullin · CVE-2026-9673 · Publicado 2026-05-28 · Atualizado 2026-07-03

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.8

Média

Vetor base

AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas json-2-csv versões 3.15.0 até 5.5.10

Descrição A Injeção de CSV ocorre quando a opção preventCsvInjection é ignorada, permitindo que um invasor injete fórmulas em arquivos CSV. Essas fórmulas são executadas automaticamente quando os arquivos são abertos em aplicativos de planilhas.

Recomendações Atualize para a versão 5.5.11 ou posterior.

Exploit

Correção

RCE

Enumeração de Fraquezas

CWE-1236

Identificadores relacionados

CVE-2026-9673

GHSA-G27C-Q7CP-MHX6

Produtos afetados

Json-2-Csv

Referências · 13

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/9xxx/CVE-2026-9673.json · Exploit
• https://github.com/mrodrig/json-2-csv · Nota
• https://github.com/mrodrig/json-2-csv/blob/main/src/json2csv.ts%23L410 · Nota
• https://github.com/mrodrig/json-2-csv/commit/0fdd0bb6d0273178cd940afc323ccbce19688229 · Nota
• https://osv.dev/vulnerability/CVE-2026-9673 · Aviso do Fabricante
• https://security.snyk.io/vuln/SNYK-JS-JSON2CSV-14221326 · Nota
• https://osv.dev/vulnerability/GHSA-g27c-q7cp-mhx6 · Aviso do Fabricante
• https://t.me/cveNotify/165139 · Publicação no Telegram
• https://t.me/cveNotify/164975 · Publicação no Telegram
• https://security.snyk.io/vuln/SNYK-JAVA-ORGWEBJARSNPM-17115116 · Nota
• https://gist.github.com/whoamins/299745a2d36b482b44e9613b78e40613 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-9673 · Nota de Segurança
• https://t.me/cveNotify/185875 · Publicação no Telegram