C5 Firefly III CSV Injection.
Summary
CSV injection is a vulnerability where untrusted user input in CSV files can lead to unauthorized access or data manipulation. In my subsequent testing of the application.
Details
I discovered that there is an option to "Export Data" from the web app to your personal computer, which exports a "csv" file that can be opened with Excel software that supports macros.
P.S I discovered that the web application's is offering a demo-site that anyone may access to play with the web application. So, there's a chance that someone will export the data (CVS) from the demo site and execute it on their PC, giving the malicious actor a complete control over their machine. (if a user enters a malicious payload to the website).
PoC
You can check out my vulnerability report if you need more details/PoC with screenshots: (removed by JC5)
Impact
An attacker can exploit this by entering a specially crafted payload to one of the fields, and when a user export the csv file using the "Export Data" function, the attacker can potentiality can RCE.
Addendum by JC5, the developer of Firefly III
There is zero impact on normal users, even on vulnerable versions.
Betroffene Software
Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.
| Plattform | Paket | Anfällige Versionen | Behoben in |
|---|---|---|---|
| Composer-Paket | grumpydictator/firefly-iii | < 6.1.7 | 6.1.7 |
Verweise
- CVSS-Vektor
CVSS:3.1/AV:L/AC:L/PR:H/UI:R/S:U/C:L/I:L/A:L- Schwäche (CWE)
-- Plattform
- Composer
- Paket
grumpydictator/firefly-iii- Veröffentlicht
- 31.01.2024
- Aktualisiert
- 11.10.2026 10:22
Quellen und Lizenzen
OSV / GitHub Advisory Database - GHSA-29w6-c52g-m8jc - CC BY 4.0
Schwachstellenhistorie: grumpydictator/firefly-iii
Alle veröffentlichten Schwachstellen dieses Pakets (Composer-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.
- Einträge insgesamt
- 26
- Erste → letzte
- 08.2021 06.2026
- Ohne Fix
- 3
- In Angriffen ausgenutzt
- 0
Verteilung nach Schweregrad
- Kritisch 1
- Hoch 1
- Mittel 22
- Niedrig 2
Veröffentlichungen pro Jahr
- 2021: 12
- 2022: 5
- 2023: 3
- 2024: 3
- 2025: 0
- 2026: 3
-
C5 Firefly III CSV Injection. dieser Eintrag
Erkennen Sie Schwachstellen in Ihrer Anwendung
Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.