CVE-2026-18738
Açıklama
Shlink 5.0.0 ile 5.1.5 sürümleri, kimlik doğrulaması yapılmamış uzaktan saldırganların User-Agent, Referer veya istek yolu başlıklarında =, +, - veya @ gibi formül tetikleyici karakterlerle başlayan kötü amaçlı değerler sağlayarak dışa aktarılan ziyaret verilerine elektronik tablo formülleri yerleştirmesine olanak tanıyan bir CSV formül enjeksiyonu güvenlik açığı içerir. Saldırganlar, herhangi bir kısa URL'ye karşı tek bir kimlik doğrulaması yapılmamış istek hazırlayarak DDE veya WEBSERVICE formül yüklerini CSV hücrelerine gömebilir; bu yükler daha sonra dışa aktarılan CSV dosyası formülleri değerlendiren bir elektronik tablo uygulamasında açıldığında yöneticinin istemci makinesinde çalıştırılır.
Nasıl düzeltilir
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| shlinkio Shlink | 5.0.0 ≤ v ≤ 5.1.5 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.