FICHE CVE

CVE-2022-1544

Publiée le 2022-05-01 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les utilisateurs de la bibliothèque `yii-helpers` (avant la version 1.2.1) sont exposés à un risque d'injection CSV si l'application exporte des données fournies par les utilisateurs dans des fichiers CSV. Un attaquant peut insérer des formules malveillantes dans un champ qui, lors de l'ouverture du fichier par un administrateur dans un logiciel de tableur tel qu'Excel, pourraient exécuter des commandes sur la machine de l'administrateur ou exfiltrer des données sensibles. Cela ne nécessite aucun privilège particulier, mais repose sur le fait qu'un utilisateur ouvre manuellement le fichier malveillant.

CVSS 3.17.8 ÉLEVÉE

Type de faiblesse

Injection CSV · CWE-1236

Publiée2022-05-01

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueLocal

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurRequise

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

Formula Injection/CSV Injection due to Improper Neutralization of Formula Elements in CSV File in GitHub repository luyadev/yii-helpers prior to 1.2.1. Successful exploitation can lead to impacts such as client-sided command injection, code execution, or remote ex-filtration of contained confidential data.