FICHE CVE

CVE-2026-19501

Publiée le 2026-08-18 · Dernière modification le 2026-09-03

🇫🇷 EN BREF

Les sites WordPress utilisant l'extension SureForms (version 2.12.1 ou antérieure) sont concernés. Un attaquant distant non authentifié peut soumettre un formulaire contenant des noms de champs spécialement conçus qui, lors de l'exportation vers un fichier CSV et de l'ouverture par un administrateur, exécutent des formules malveillantes dans le logiciel de tableur de l'administrateur. Pour que l'attaque se déclenche, l'administrateur doit télécharger et ouvrir manuellement le fichier exporté.

CVSS 3.18.8 ÉLEVÉE

Type de faiblesse

Injection CSV · CWE-1236

Publiée2026-08-18

Dernière modification2026-09-03

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurRequise

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

CSV export functionality in Brainstorm Force SureForms version, <= 2.12.1, fails to neutralize spreadsheet formula characters in user-controlled form field names before generating CSV exports, which allows a remote attacker to execute spreadsheet formulas on an administrator's workstation when the exported CSV file is opened in a vulnerable spreadsheet application.