CVE-2026-86745

Snipe-IT İT aktivlərinin idarə edilməsi tətbiqidir. Snipe-IT-nin 8.6.3 versiyasından sonrakı master-branch build-lərində (kod heç vaxt etiketlənmiş buraxılışa daxil edilməyib), SettingsController::downloadLocationScopingReport funksiyası FMCS location-scoping uyğunsuzluq hesabatını (GET /admin/settings/location-scoping-report.csv), config('app.escape_formulas') parametrinə riayət edən digər CSV eksportlarının əksinə olaraq, League\Csv\EscapeFormula tətbiq etmədən birbaşa fputcsv() çağırışı vasitəsilə ötürür. Adi yaratma/redaktə hüquqlarına malik autentifikasiya olunmuş istifadəçi, hesabatda görünən sərbəst mətn sahələrinə (element adı, aktiv etiketi, seriya nömrəsi, element və ya məkan şirkətinin adı, məkan adı) elektron cədvəl formulunu yerləşdirə və qeydin eksporta daxil edilməsi üçün onun FMCS ilə uyğunsuz olmasını təmin edə bilər. Superistifadəçi hesabatı yüklədikdə və onu düsturların qiymətləndirilməsi aktiv olan, kənar məzmun xəbərdarlıqları rədd edilmiş və ya söndürülmüş Excel, LibreOffice Calc və ya Google Sheets proqramında açdıqda, =, +, -, @, tab və ya CR ilə başlayan xanalar qurbanın elektron cədvəl kontekstində icra edilir ki, bu da məlumatların sızdırılmasına (məsələn, HYPERLINK/WEBSERVICE) və ya Windows Excel-də köhnə DDE əmrlərinin icrasına imkan verir. Bu problem 8.7.0 versiyasında düzəldilmişdir.