جزئیات آسیب‌پذیری
CVE-2026-78209
exceljs exceljs
exceljs through 4.4.0 CSV Formula Injection via Unescaped Cell Values
CVSS 4.0
8.4بالا
شرح رسمی (انگلیسی)
exceljs through 4.4.0 fails to neutralize leading equals, plus, minus, or at signs in cell values written to CSV output. Attackers who can influence exported cell values can inject formulas that execute when the CSV file is opened in a spreadsheet application, potentially exfiltrating data or performing other malicious actions.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 8.4بالا | 4.0 | CVEProject cvelistV5 (CNA) (VulnCheck) | CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:H/VI:L/VA:N/SC:H/SI:L/SA:N |
| 8.2بالا | 3.1 | CVEProject cvelistV5 (CNA) (VulnCheck) | CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:L/A:N |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| exceljs | exceljs | v ≤ 4.4.0 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۴- https://github.com/exceljs/exceljs product
- https://github.com/mateocallec/exceljs-hardened/security/advisories/GHSA-9wxc-4rhw-hfrw third-party-advisoryvendor-advisory
- https://github.com/exceljs/exceljs/blob/v4.4.0/lib/csv/csv.js#L109-L182 technical-description
- https://www.vulncheck.com/advisories/exceljs-through-csv-formula-injection-via-unescaped-cell-values third-party-advisory
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.
اطلاعات
- تاریخ انتشار
- ۱۴۰۵/۰۶/۰۲
- آخرین به‌روزرسانی
- ۱۴۰۵/۰۸/۱۷
- وضعیت
- منتشرشده
- صادرکننده (CNA)
- VulnCheck
پیش‌بینی بهره‌برداری (EPSS)
۰٫۴۱٪
احتمال بهره‌برداری در ۳۰ روز
۳۵٫۵٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- قابل خودکارسازی
- خیر
- وضعیت بهره‌برداری
- ندارد
- اثر فنی
- جزئی
ضعف‌ها (CWE)
- CWE-1236Improper Neutralization of Formula Elements in a CSV File