CVE-2024-51094
Publiée le 2024-11-12 · Dernière modification le 2026-06-17
Les versions de Snipe-IT allant jusqu'à la v.7.0.13 build 15514 sont affectées par une faille d'injection CSV. Un utilisateur disposant d'un compte à faibles privilèges peut injecter une charge utile malveillante dans le nom de son profil ; celle-ci s'exécute ensuite sur l'ordinateur d'un administrateur si celui-ci exporte la liste des personnes vers un fichier CSV et l'ouvre. Cela nécessite que l'attaquant possède un compte et que l'administrateur interagisse manuellement avec le fichier exporté, mais cela peut entraîner le vol de données internes du système.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
An issue in Snipe-IT v.7.0.13 build 15514 allows a low-privileged attacker to modify their profile name and inject a malicious payload into the "Name" field. When an administrator later accesses the People Management page, exports the data as a CSV file, and opens it, the injected payload will be executed, allowing the attacker to exfiltrate internal system data from the CSV file to a remote server.