FICHE CVE

CVE-2023-48709

Publiée le 2024-04-15 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les plateformes ITSM iTop sont vulnérables à une attaque par injection CSV, permettant à un utilisateur malveillant d'insérer des formules dans des fichiers de données exportés. Si un administrateur ou un utilisateur ouvre ces exports avec une ancienne version d'Excel, le logiciel peut exécuter du code arbitraire sur la machine locale. Cela nécessite que l'attaquant possède un compte avec des privilèges limités sur le système et qu'une victime ouvre manuellement le fichier téléchargé.

CVSS 3.18.0 ÉLEVÉE

Type de faiblesse

Injection · CWE-74 Injection CSV · CWE-1236

Publiée2024-04-15

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisFaibles

Interaction utilisateurRequise

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

iTop is an IT service management platform. When exporting data from backoffice or portal in CSV or Excel files, users' inputs may include malicious formulas that may be imported into Excel. As Excel 2016 does **not** prevent Remote Code Execution by default, uninformed users may become victims. This vulnerability is fixed in 2.7.9, 3.0.4, 3.1.1, and 3.2.0.