FICHE CVE

CVE-2023-5527

Publiée le 2024-06-18 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les sites WordPress utilisant le plugin Business Directory (version 6.4.3 et antérieures) sont susceptibles d'être victimes d'injections CSV. Un utilisateur authentifié disposant de permissions de niveau auteur ou supérieur peut intégrer des formules malveillantes dans les fichiers CSV exportés, lesquelles peuvent exécuter du code sur l'ordinateur local d'un administrateur lors de l'ouverture du fichier. Cette attaque nécessite un accès réseau et des permissions d'utilisateur spécifiques, mais elle est relativement facile à réaliser si l'administrateur utilise une application de tableur vulnérable.

CVSS 3.17.4 ÉLEVÉE

Type de faiblesse

Injection CSV · CWE-1236

Publiée2024-06-18

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisFaibles

Interaction utilisateurAucune

PortéeModifiée

Impact sur la confidentialitéFaible

Impact sur l'intégritéFaible

Impact sur la disponibilitéFaible

RÉFÉRENCES

Description officielle du NVD (en anglais)

The Business Directory Plugin plugin for WordPress is vulnerable to CSV Injection in versions up to, and including, 6.4.3 via the class-csv-exporter.php file. This allows authenticated attackers, with author-level permissions and above, to embed untrusted input into CSV files exported by administrators, which can result in code execution when these files are downloaded and opened on a local system with a vulnerable configuration.