PT-2026-5154 · Tendenci · Tendenci

Mufaddal Masalawala · Publicado 2026-01-28 · Atualizado 2026-02-02 · CVE-2020-36962

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Tendenci versão 12.3.1

Descrição O software contém uma vulnerabilidade de injeção de fórmula CSV no campo de mensagem do formulário de contato. Isso permite que atacantes injetem fórmulas maliciosas ao exportar um arquivo CSV. Ao enviar cargas elaboradas, como '=10+20+cmd|' /C calc'!A0', no campo de mensagem, atacantes podem acionar a execução de comandos arbitrários ao abrir o arquivo CSV em aplicativos de planilha. O componente vulnerável é o campo de mensagem do formulário de contato.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

RCE

Enumeração de Fraquezas

CWE-1236

Identificadores relacionados

CVE-2020-36962

GHSA-4Q3W-JGFX-4792

PYSEC-2026-136

Produtos afetados

Tendenci

Referências · 11

• 🔥 https://exploit-db.com/exploits/49145 · Exploit
• https://github.com/tendenci/tendenci/commit/3e37622cac81440c5a1f97c39f112a2cf4a5450c · Nota
• https://github.com/tendenci/tendenci · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/tendenci/PYSEC-2026-136.yaml · Nota
• https://tendenci.com · Nota
• https://t.me/cveNotify/150628 · Publicação no Telegram
• https://vulncheck.com/advisories/tendenci-csv-formula-injection · Nota
• https://osv.dev/vulnerability/GHSA-4q3w-jgfx-4792 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2020-36962 · Aviso do Fabricante
• https://osv.dev/vulnerability/PYSEC-2026-136 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-36962 · Nota de Segurança