FICHE CVE

CVE-2026-78209

Publiée le 2026-08-24 · Dernière modification le 2026-10-14

🇫🇷 EN BREF

Les applications utilisant la bibliothèque `exceljs` (jusqu'à la version 4.4.0) pour générer des fichiers CSV sont vulnérables à l'injection de formules. Un attaquant non authentifié peut fournir une entrée spécialement conçue qui, lors de l'exportation vers un CSV, insère des formules malveillantes s'exécutant automatiquement lorsqu'une victime ouvre le fichier dans un logiciel de tableur. Cette attaque ne nécessite aucun privilège particulier et peut être déclenchée à distance, bien qu'elle dépende de l'ouverture manuelle du fichier résultant par un utilisateur.

CVSS 4.08.4 ÉLEVÉE

Type de faiblesse

Injection CSV · CWE-1236

Publiée2026-08-24

Dernière modification2026-10-14

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurPassive

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Faible

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Élevée

Intégrité (système subséquent)Faible

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

exceljs through 4.4.0 fails to neutralize leading equals, plus, minus, or at signs in cell values written to CSV output. Attackers who can influence exported cell values can inject formulas that execute when the CSV file is opened in a spreadsheet application, potentially exfiltrating data or performing other malicious actions.