FICHE CVE

CVE-2026-41073

Publiée le 2026-05-22 · Dernière modification le 2026-07-23

🇫🇷 EN BREF

Les systèmes de suivi de tickets RT (versions antérieures à 5.0.10 et de 6.0.0 à 6.0.2) sont vulnérables à l'injection de feuilles de calcul via des données non nettoyées dans les exports CSV. Un attaquant disposant d'un compte avec des privilèges limités peut intégrer des formules malveillantes dans un ticket ; celles-ci s'exécutent sur l'ordinateur d'une victime lorsque celle-ci ouvre le fichier exporté dans une application telle qu'Excel. Cela nécessite que l'attaquant dispose d'un accès réseau basique et que la victime ouvre manuellement le fichier exporté.

CVSS 3.14.6 MOYENNE

Type de faiblesse

Injection CSV · CWE-1236

Publiée2026-05-22

Dernière modification2026-07-23

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisFaibles

Interaction utilisateurRequise

PortéeInchangée

Impact sur la confidentialitéFaible

Impact sur l'intégritéFaible

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

RT is an open source, enterprise-grade issue and ticket tracking system. Versions prior to 5.0.10 and 6.0.0 through 6.0.2 contain a spreadsheet (CSV/formula) injection vulnerability. User-controlled data in spreadsheet exports is not sanitized before being written to the output file, which can cause spreadsheet applications to interpret crafted values as formulas or macros when the file is opened. This issue has been fixed in versions 5.0.10 and 6.0.3. If developers are unable to upgrade immediately, they can temporarily work around this issue by avoiding opening exported RT spreadsheet files directly in spreadsheet applications when the data may contain untrusted user input.