CVE-2026-86742

Snipe-IT 8.6.3 sürümüne kadar olan versiyonlarda, "unaccepted assets" kabul raporu CSV dışa aktarımında formül öğeleri etkisiz hale getirilmemektedir. ReportsController::postAssetAcceptanceReport, CSV dosyasını manuel olarak oluşturmakta (virgülleri kaldırarak ve satırları elle birleştirerek) ve aynı denetleyicideki diğer altı dışa aktarma işleminin aksine, hiçbir zaman League\Csv\EscapeFormula uygulamamakta veya config('app.escape_formulas') ayarına uymamaktadır. Raporlarda görünen serbest metin alanlarına (varlık adı/etiketi, şirket adı, kategori, model veya atanan kişi görüntüleme adı) sahip herhangi bir kayıtta standart oluşturma/düzenleme hakları olan kimliği doğrulanmış düşük yetkili bir kullanıcı; bu alanlardan birini =, +, -, @, sekme (tab) veya CR ile başlayan bir değerle ayarlayabilir. reports.view yetkilerine sahip bir kullanıcı, zehirli kayda referans veren bekleyen bir çıkış kabulü için dışa aktarma talebinde bulunduğunda (POST /reports/unaccepted_assets) ve ortaya çıkan CSV dosyasını Excel, LibreOffice Calc veya Google Sheets üzerinde açtığında, enjekte edilen içerik indiricinin hesap tablosu bağlamında bir formül olarak değerlendirilir; bu durum veri sızdırmayı (örneğin HYPERLINK/WEBSERVICE) veya eski Windows Excel yapılandırmalarında DDE komut çalıştırılmasını mümkün kılar. 8.7.0 sürümünde düzeltildi.