CVE-2025-62417
Publiée le 2025-10-16 · Dernière modification le 2026-10-19
Les installations Bagisto eCommerce sont affectées par une faille d'injection CSV où des données de produits spécialement conçues sont traitées comme des formules lors de l'exportation. Un attaquant peut saisir des formules malveillantes dans les champs de produits qui, lorsqu'elles sont ouvertes par un administrateur dans un logiciel de tableur, pourraient exfiltrer des données ou exécuter des commandes sur la machine locale de cet utilisateur. L'envoi des données ne nécessite aucune authentification, mais l'attaque ne fonctionne que si un administrateur exporte manuellement les données et ouvre le fichier résultant dans un logiciel tel qu'Excel.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Bagisto is an open source laravel eCommerce platform. When product data that begins with a spreadsheet formula character (for example =, +, -, or @) is accepted and later exported or saved into a CSV and opened in spreadsheet software, the spreadsheet will interpret that cell as a formula. This allows an attacker to supply a CSV field (e.g., product name) that contains a formula which may be evaluated by a victim’s spreadsheet application — potentially leading to data exfiltration and remote command execution (via older Excel exploits / OLE/cmd constructs or Excel macros). This vulnerability is fixed in 2.3.8.