FICHE CVE
CVE-2022-3604
Publiée le 2024-01-16 · Dernière modification le 2026-06-17
🇫🇷 EN BREF
Les sites WordPress utilisant l'extension Contact Form Entries (version 1.2.9 ou antérieure) sont susceptibles d'être victimes d'une injection CSV. Un attaquant non authentifié peut soumettre des données spécialement conçues via un formulaire de contact qui, lors du téléchargement au format CSV par un administrateur, exécutent des commandes malveillantes sur l'ordinateur local de ce dernier. Cela nécessite que l'administrateur exporte manuellement le fichier résultant et l'ouvre dans une application de tableur.
DÉTAIL DU VECTEUR CVSS
Vecteur d'attaqueLocal
Complexité d'attaqueFaible
Privilèges requisAucun
Interaction utilisateurRequise
PortéeInchangée
Impact sur la confidentialitéÉlevé
Impact sur l'intégritéÉlevé
Impact sur la disponibilitéÉlevé
RÉFÉRENCES
Description officielle du NVD (en anglais)
The Contact Form Entries WordPress plugin before 1.3.0 does not validate data when its output in a CSV file, which could lead to CSV injection.