CVE-2026-86742

Snipe-IT 8.6.3 versiyadək olan versiyalarda "unaccepted assets" qəbul hesabatının CSV eksportunda formula elementləri neytrallaşdırılmır. ReportsController::postAssetAcceptanceReport funksiyası CSV faylını əllə qurur (vergülləri silir və sətirləri əllə birləşdirir) və eyni kontrollerdəki digər altı eksportun əksinə olaraq, heç vaxt League\Csv\EscapeFormula tətbiq etmir və ya config('app.escape_formulas') parametrinə riayət etmir. Hesabatda görünən sərbəst mətn sahələrinə (aktiv adı/teqi, şirkət adı, kateqoriya, model və ya təyin edilən şəxsin adı) hər hansı bir qeyddə adi yaratma/redaktə hüquqları olan autentifikasiya olunmuş aşağı imtiyazlı istifadəçi həmin sahəni =, +, -, @, tab və ya CR ilə başlayan dəyərə təyin edə bilər. reports.view imtiyazlarına malik istifadəçi zəhərlənmiş qeydə istinad edən gözlənilən çıxış qəbulu üçün eksport sorğusu göndərdikdə (POST /reports/unaccepted_assets) və nəticədə alınan CSV faylını Excel, LibreOffice Calc və ya Google Sheets proqramlarında açdıqda, injeksiya edilmiş məzmun yükləyicinin cədvəl kontekstində formula kimi qiymətləndirilir. Bu, məlumatların sızdırılmasına (məsələn, HYPERLINK/WEBSERVICE vasitəsilə) və ya köhnə Windows Excel konfiqurasiyalarında DDE əmrinin icrasına imkan verir. Problem 8.7.0 versiyasında düzəldilib.