CVE-2026-50179
Təsvir
Actual yerli-fokuslu şəxsi maliyyə alətidir. 26.6.0 versiyasından əvvəl packages/loot-core/src/server/transactions/export/export-to-csv.ts faylındakı exportToCSV və exportQueryToCSV funksiyaları istifadəçi tərəfindən idarə olunan Payee, Notes, Account və Category sətirlərini heç bir cast callback və formula-prefiks neytrallaşdırması olmadan csv-stringify-a ötürür. Bərabərlik işarəsi, plyus, minus, at işarəsi, tab və ya carriage return ilə başlayan sətirlər ixrac edilən CSV faylına olduğu kimi daxil olur və alıcı faylı Excel, LibreOffice Calc və ya Google Sheets-də açdıqda həmin sətirlər formula kimi şərh edilir, bu da tranzaksiya məlumatlarının ekfiltrasiyasına və hücumçunun seçdiyi cədvəl göstərmə dəyərlərinə imkan verir. Bu problem 26.6.0 versiyasında düzəldilib.
Necə düzəltmək olar
- @actual-app/web26.6.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| @actual-app/webnpm | v < 26.6.0 | 26.6.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.