Zaloguj się
Deutsch English Español Polski
Średnia

SilverStripe CSV Excel Macro Injection

  • Ujawniono: 14.05.2022
  • Aktualizacja: 11.10.2026 10:22

In the CSV export feature of SilverStripe before 3.5.6, 3.6.x before 3.6.3, and 4.x before 4.0.1, it's possible for the output to contain macros and scripts, which may be executed if imported without sanitization into common software (including Microsoft Excel). For example, the CSV data may contain untrusted user input from the "First Name" field of a user's /myprofile page.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka Composer silverstripe/framework < 3.5.6, >= 3.6.0, < 3.6.3, >= 4.0.0, < 4.0.1 3.5.6, 3.6.3, 4.0.1

Odnośniki

Ocena CVSS 5.5/10
Wektor CVSS
CVSS:3.0/AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N
Słabość (CWE)
CWE-74
Platforma
Composer
Paczka
silverstripe/framework
Ujawniono
14.05.2022
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-2jvj-mhf2-g99w - CC BY 4.0

Historia podatności: silverstripe/framework

Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (93) w archiwum
Wszystkich wpisów
93
Pierwsza → ostatnia
11.2019 08.2026
Bez poprawki
1
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 3
  • Wysoka 13
  • Średnia 69
  • Niska 8

Ujawnienia w latach

Istotność:
  1. silverstripe/framework has potential SQL Injection vulnerability in PostgreSQL database connector
    Wysoka · 8.8 ghsa-265q-222x-52m6 >= 4.0.0-rc1, < 4.0.6, >= 4.1.0-rc1, < 4.1.4, >= 4.2.0-rc1, < 4.2.3 4.0.6, 4.1.4, 4.2.3
  2. silverstripe/framework has possible denial of service attack vector when flushing
    Wysoka · 7.5 ghsa-cwgq-83w5-8jfq >= 4.0.0-rc1, < 4.0.5, >= 4.1.0-rc1, < 4.1.3, >= 4.2.0-rc1, < 4.2.2 4.0.5, 4.1.3, 4.2.2
  3. silverstripe/framework allows upload of dangerous file types
    Wysoka · 8.8 ghsa-vcg6-8fxc-x5cq >= 3.6.5-rc1, < 3.6.6, >= 4.0.3-rc1, < 4.0.4, >= 4.1.0-rc1, < 4.1.1 3.6.6, 4.0.4, 4.1.1
  4. silverstripe/framework code execution vulnerability
    Wysoka · 7.5 ghsa-vgxh-x8jv-hmff >= 4.0.3-rc1, < 4.0.4, >= 4.1.0-rc1, < 4.1.1 4.0.4, 4.1.1
  5. silverstripe/framework BackURL validation bypass with malformed URLs
    Wysoka · 7.5 ghsa-m5q3-mvcr-gc5m >= 4.0.0-rc1, < 4.0.4, >= 4.1.0-rc1, < 4.1.1 4.0.4, 4.1.1
  6. silverstripe/framework SQL injection in full text search
    Wysoka · 8.8 ghsa-xx4r-5265-48j6 >= 3.5.0-rc1, < 3.5.6, >= 3.6.0-rc1, < 3.6.3, >= 4.0.0-rc1, < 4.0.1 3.5.6, 3.6.3, 4.0.1
  7. silverstripe/framework CSV Excel Macro Injection
    Wysoka · 8.0 ghsa-mqjc-x563-c9q8 >= 3.5.0-rc1, < 3.5.6, >= 3.6.0-rc1, < 3.6.3, >= 4.0.0-rc1, < 4.0.1 3.5.6, 3.6.3, 4.0.1
  8. silverstripe/framework vulnerable to user enumeration via timing attack on login and password reset forms
    Wysoka ghsa-7m2v-x7rg-5hm5 >= 3.5.0-rc1, < 3.5.5, >= 3.6.0-rc1, < 3.6.2 3.5.5, 3.6.2
  9. silverstripe/framework's User-Agent header not correctly invalidating user session
    Wysoka · 7.5 ghsa-4qx8-j9vh-2628 >= 3.5.0-rc1, < 3.5.6, >= 3.6.0-rc1, < 3.6.3 3.5.6, 3.6.3
  10. Silverstripe Brute force bypass on default admin
    Krytyczna · 9.1 ghsa-8v6m-7f5v-hhx6 >= 3.1.18, < 3.1.19, >= 3.2.3, < 3.2.4, >= 3.3.1, < 3.3.2 3.1.19, 3.2.4, 3.3.2
  11. Silverstripe X-Forwarded-Host request hostname injection
    Wysoka · 7.2 ghsa-25gq-jvx2-vg9x >= 3.1.0, < 3.1.13 3.1.13
  12. Blind SQL Injection via GridFieldSortableHeader
    Wysoka · 8.8 CVE-2022-38148 >= 4.0.0, < 4.10.11, >= 4.11.0, < 4.11.14 4.10.11, 4.11.14
  13. Silverstripe CMS information disclosure
    Wysoka · 7.5 CVE-2020-6164 >= 4.0.0, < 4.4.7, >= 4.5.0, < 4.5.4 4.4.7, 4.5.4
  14. SilverStripe Folders migrated from 3.x may be unsafe to upload to
    Wysoka · 7.5 CVE-2020-9280 >= 4.0.0, < 4.4.6 4.4.6
  15. SilverStripe CSV Excel Macro Injection ten wpis
    Średnia · 5.5 CVE-2017-18049 < 3.5.6, >= 3.6.0, < 3.6.3, >= 4.0.0, < 4.0.1 3.5.6, 3.6.3, 4.0.1
  16. Silverstripe Framework SQLi Vulnerability
    Krytyczna · 9.8 CVE-2019-5715 >= 3.0.0, < 3.6.7, >= 4.0.0, < 4.0.7, >= 3.7.0, < 3.7.3, >= 4.1.0, < 4.1.5, >= 4.2.0, < 4.2.4, >= 4.3.0, < 4.3.1 3.6.7, 4.0.7, 3.7.3, 4.1.5, 4.2.4, 4.3.1
  17. Missing warning can lead to unauthenticated admin access in SilverStripe
    Krytyczna · 9.8 CVE-2019-12204 >= 4.1.0, < 4.3.5 4.3.5

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.