FICHE CVE

CVE-2024-41226

Publiée le 2024-08-06 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Automation Anywhere Automation 360 (version 21094) est sensible à l'injection CSV, ce qui permet à un attaquant d'exécuter du code arbitraire sur la machine d'un utilisateur. Pour y parvenir, l'attaquant doit inciter un utilisateur à interagir avec une charge utile spécialement conçue et transmise via un fichier CSV. Aucune authentification ni privilège particulier n'est requis, mais l'exploitation dépend entièrement de l'ouverture du fichier malveillant par un utilisateur.

CVSS 3.17.8 ÉLEVÉE

Type de faiblesse

Injection CSV · CWE-1236

Publiée2024-08-06

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueLocal

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurRequise

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

A CSV injection vulnerability in Automation Anywhere Automation 360 version 21094 allows attackers to execute arbitrary code via a crafted payload. NOTE: Automation Anywhere disputes this report, arguing the attacker executes everything from the client side and does not attack the Control Room. The payload is being injected in the http Response from the client-side, so the owner of the Response and payload is the end user in this case. They contend that the server's security controls have no impact or role to play in this situation and therefore this is not a valid vulnerability.