Каталоги
В сервис интегрированы наиболее популярные публичных базы знаний:
- Сертификаты СЗИ - Государственный реестр сертифицированных средств защиты информации опубликованный Федеральной службой по техническому и экспортному контролю, может быть использован для контроля актуальности используемых СЗИ в организации.
- CVE уязвимости - общедоступная публичная база уязвимостей Common Vulnerabilities and Exposures (CVE). Миссия программы CVE заключается в выявлении, определении и каталогизации публично раскрываемых уязвимостей в сфере кибербезопасности. Для каждой уязвимости в каталоге существует одна запись CVE. Уязвимости обнаруживаются, затем присваиваются и публикуются организациями по всему миру, которые сотрудничают с программой CVE. Партнеры публикуют записи CVE для единообразного описания уязвимостей. Специалисты в области информационных технологий и кибербезопасности используют записи CVE, чтобы убедиться, что они обсуждают одну и ту же проблему, и координировать свои усилия по определению приоритетности и устранению уязвимостей.
- БДУ ФСТЭК уязвимости - раздел Уязвимости Банка данных уязвимостей опубликованная Федеральной службой по техническому и экспортному контролю совместно с Государственным научно-исследовательским испытательным институтом проблем технической защиты информации. Одной из целей создания банка данных угроз безопасности информации является объединение специалистов в области информационной безопасности для решения задач повышения защищенности информационных систем.
- НКЦКИ уязвимости - общедоступная публичная база уязвимостей Национального координационного центра по компьютерным инцидентам (НКЦКИ), обеспечивающего координацию деятельности субъектов КИИ по обнаружению, предупреждению, ликвидации последствий компьютерных атак и реагированию на компьютерные инциденты.
- MITRE ATT&CK – Adversarial Tactics, Techniques & Common Knowledge – Тактики, техники и общеизвестные знания о злоумышленниках. Это основанная на реальных наблюдениях база знаний компании Mitre, содержащая описание тактик, приемов и методов, используемых киберпреступниками. База создана в 2013 году и регулярно обновляется, цель – составление структурированной матрицы используемых киберпреступниками приемов, чтобы упростить задачу реагирования на киберинциденты.
- БДУ ФСТЭК и Новая БДУ ФСТЭК – раздел Угрозы Банка данных угроз, опубликованный в 2015 году Федеральной службой по техническому и экспортному контролю и Государственным научно-исследовательским испытательным институтом проблем технической защиты информации, обязателен при моделировании угроз при построении систем защиты персональных данных, критической информационной инфраструктуры, государственных информационных систем.
Каталог Справка открывает раздел документации по каталогам.
Уязвимости CVE, БДУ ФСТЭК и НКЦКИ
Каталоги CVE уязвимости, БДУ ФСТЭК уязвимости и НКЦКИ уязвимости предоставляют дополнительный контент и обогащают информацией описание уязвимостей от сканеров в модуле Технические уязвимости.
Интерфейс каталогов идентичен и содержит следующие блоки:
- Метрики:
- Найденные уязвимости – отображает количество найденных в отчетах от сканеров уязвимостей которые связаны с уязвимостями из каталога, при нажатии на виджет перенаправляет в модуль Технические уязвимости с установленным фильтром по названию каталога (тип фильтра Группа уязвимостей);
- Уязвимые хосты – отображает количество хостов на которых обнаружены уязвимости связанные с уязвимостями из каталога, при нажатии на виджет перенаправляет в модуль Технические уязвимости с установленным фильтром по названию каталога (тип фильтра Группа уязвимостей).
- Табличную часть Каталог уязвимостей:
- Фильтр по полю Идентификатор - особенностью данного фильтра является автоматический разбор текста с последующим извлечением из текста идентификаторов. Для этого необходимо вставить произвольный текст с идентификаторами в поле и добавить в фильтр через кнопку плюс;
- Табличную часть с полями для каталогов CVE и БДУ ФСТЭК:
- Идентификатор - id уязвимости в базе уязвимостей;
- Описание - текстовое описание уязвимости;
- Обнаружено - флаг, данный статус отображается если уязвимость обнаружена в отчетах о сканировании;
- CVSS - числовая оценка уязвимости согласно источнику, с указанием даты выявления уязвимости экспертами, оценка отображается цветом согласно оценке CVSS 0.1 – 3.9 Low Зеленый,
4.0 – 6.9 Medium Желтый, 7.0 – 8.9 High Оранжевый, 9.0 – 10.0 Critical Красный.
- Табличную часть с полями для каталогов CVE :
- Дата бюллетеня - информация о дате публикации бюллетеня содержащего уязвимости;
- Идентификатор - id уязвимости в базе уязвимостей;
- Информация - текстовое описание уязвимости;
- Вектор атаки - локальный или сетевой вектор атаки;
- Обнаружено - флаг, данный статус отображается если уязвимость обнаружена в отчетах о сканировании;
- Наличие обновления - - флаг, данный статус отображается если база уязвимостей содержит информацию о наличии обновлений от производителя уязвимого ПО;
- Дата выявления - даты выявления уязвимости экспертами.
- Чекбокс «Только обнаруженные уязвимости» - устанавливает фильтр на табличную часть для отображения только обнаруженные уязвимости.
- Функционал для экспорта всех уязвимостей каталога.
- Для каталога добавляется функционал Варианты отображения:
- Бюллетени - изменяет отображение табличной части на реестр бюллетеней, отображает общее количество уязвимостей в бюллетени в поле Уязвимостей в бюллетени и статус по обнаружению в поле Обнаружено - данный статус отображается если хотя бы одна уязвимость из бюллетеня обнаружена в инфраструктуре.
- Уязвимости.
MITRE ATT&CK, БДУ ФСТЭК, Новая БДУ ФСТЭК
Данные из каталогов MITRE ATT&CK, БДУ ФСТЭК, Новая БДУ ФСТЭК могут использоваться для контекстного наполнения риска в модуле Риски.
Каждый из указанных каталогов сформирован по собственной схеме данных, которая не соответствует подходу оценки риска, используемому в сервисе. Но в основе своей указанные базы описывают все те же риски информационной безопасности, каждый под своим углом. Поэтому они добавлены в сервис и как отдельные компоненты и как основа для создания рисков, угроз или уязвимостей.
Каталоги могут использоваться в сервисе с целью:
- Облегчения процесса формирования рисков, угроз и уязвимостей;
- Обогащения информации по рискам (угрозам, уязвимостям) созданным в сервисе.
- Взгляда на компанию и оценку рисков через публичные каталоги угроз.
Сервис позволяет установить связь между объектами из каталогов и 3 типами объектов сервиса: угрозами, уязвимостями или рисками безопасности:
- Уязвимости могут быть связаны с угрозами БДУ ФСТЭК, техниками ATT&CK и способами реализации Новой БДУ ФСТЭК.
- Угрозы могут быть связаны с угрозами БДУ ФСТЭК, техниками ATT&CK, угрозами и последствиями Новой БДУ ФСТЭК.
- Риски могут быть связаны с угрозами БДУ ФСТЭК, техниками ATT&CK, угрозами, способами реализации и последствиями Новой БДУ ФСТЭК.
Такой широкий выбор возможных связей сделан потому, что объекты из каталогов угроз могут быть или угрозой или уязвимостью в контексте сервиса.
Например, УБИ.004 Угроза аппаратного сброса пароля BIOS из БДУ ФСТЭК в контексте сервиса является уязвимостью, особенностью активов типа Микропрограммное обеспечение, которая может привести к реализации угрозы Несанкционированного локального доступа к BIOS.
В большинстве случаев угрозы из БДУ ФСТЭК и техники из MITRE ATT@CK являются именно уязвимостями, использование которых ведет к реализации угроз безопасности, но бывают и исключения.
Для рисков, угроз и уязвимостей из базы Community связи с каталогами угроз уже установлены.
Связь с каталогом угроз может быть прямой или косвенной. Например, если уязвимость связана с угрозой из БДУ ФСТЭК то и все риски, в составе которых есть данная уязвимость будут автоматически связаны с угрозой из БДУ ФСТЭК.
Каталог БДУ ФСТЭК - это реестр рисков от банка данных угроз безопасности информации ФСТЭК России.
Каждая угроза содержит описание, рекомендации к каким типам активов может быть применена эта угроза, классификация по свойствам информации и вероятные источники угрозы. Дополнительно в блоке Связанные риски указаны связанные риски, а в блоке Каталоги указываются связи с записями из других каталогов.
Каталог Новая БДУ ФСТЭК от банка данных угроз безопасности информации ФСТЭК России содержит:
- матрицу Способы реализации (возникновения угроз) - каждая ячейка которых содержит описание поверхности атаки: группу способов, уровень возможностей нарушителя, возможные реализуемые угрозы, компоненты объектов воздействия, возможные меры защиты;
- Негативные последствия - перечень негативных последствий в классификации ФСТЭК в виде кода и описания;
- Угрозы - реестр угроз с описанием, каждая угроза содержит возможные объекты воздействия и возможные способы реализации угроз;
- Объекты - перечень объектов последствий с описанием и компонентами которые могут входить в состав объекта;
- Компоненты - перечень компонентов объектов воздействия с указанием объектов воздействия на которых они могут располагаться;
- Нарушители - уровни возможностей нарушителей классифицированные по возможностям и компетенции;
- Меры защиты - в терминологии SECURITM это список требований выполнение которых сокращает возможности нарушителя.
Каталог MITRE ATT&CK содержит:
- Матрица - содержит тактики и техники злоумышленника, позволяет на основании тактики или техники создать риск или уязвимость, в матрице указаны связи с рисками в базе Community и с рисками в базе команды;
- Тактики - направления действия нарушителя на том или ином этапе cyberkillchane;
- Техники - конкретные действия нарушителя для достижения цели на конкретном шаге cyberkillchane;
- Контрмеры - в терминологии SECURITM это список требований выполнение которых сокращает возможности нарушителя;
- Преступные группы - описание APT группировок и их особенности и модель поведения;
- Инструменты - ПО используемое нарушителями для вредоносного воздействия.
Матрицы могут использоваться для построения тепловой карты рисков наложенных на матрицы угроз и уязвимостей.
Сертификаты СЗИ
Каталог Сертификаты СЗИ может быть использован в модуле Активы как источник информации для поля Номер сертификата СЗИ. В модуле активов есть возможность вести реестр СЗИ используемых в организации, в свою очередь каталог сертификатов СЗИ позволяет связать актив с каталогом через поле актива Номер сертификата СЗИ.
Каталог Сертификаты СЗИ содержит реестр с информацией о номере сертификата, сроке действия сертификата и сроке поддержки СЗИ. Кроме реестра каталог содержит следующие метрики:
- Имеющиеся СЗИ - отображает количество активов у которых заполнено поле Номер сертификата СЗИ;
- Скоро будут просрочены - отображает количество активов у которых срок действия сертификата меньше 90 календарных дней;
- Просроченные сертификаты - отображает количество активов у которых срок действия сертификата уже истек;
- Истекшая поддержка - отображает количество активов у которых срок действия сертификата уже истек.
Каждая метрика ведёт в реестр активов и выводит список СЗИ, отфильтрованный по соответствующим параметрам.
Нажав на просмотр сертификата, мы увидим карточку сертификата, сервис хранит информацию о следующих данных:
- Номер сертификата;
- Дата внесения в реестр;
- Срок действия сертификата;
- Срок окончания тех. поддержки;
- Наименование средства (шифр);
- Схема сертификации;
- Испытательная лаборатория;
- Орган по сертификации;
- Заявитель;
- Наименования документов соответствия;
- Реквизиты заявителя.
Реестр обновляется автоматически один раз в месяц.
Куда я попал?
CWE-1236
Improper Neutralization of Formula Elements in a CSV File
The product saves user-provided information into a Comma-Separated Value (CSV) file, but it does not neutralize or incorrectly neutralizes special elements that could be interpreted as a command when the file is opened by a spreadsheet product.
| Тип уязвимости: | Не зависит от других уязвимостей |
Идентификаторы ФСТЭК уязвимостей
Идентификатор, базы данных общеизвестных уязвимостей информационной безопасности
| Идентификатор | Описание |
|---|---|
| BDU:2021-01804 | Уязвимость функции "Export" веб-приложения для администрирования систем управления базами данных phpMyAdmin, позволяющая нарушителю выполнить произвольный код |
| BDU:2021-02016 | Уязвимость функции экспорта журнала аудита облачного сервиса безопасности Cisco Umbrella, позволяющая нарушителю выполнить произвольный код |
| BDU:2021-03296 | Уязвимость системы поддержки клиентов osTicket, связанная с отсутствием нейтрализации элементов в файле CSV, позволяющая нарушителю выполнить произвольный код |
| BDU:2022-02237 | Уязвимость инструмента автоматизации управления инфраструктурой Puppet, связанная с отсутствием нейтрализации элементов в файле CSV, позволяющая нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в об... |
| BDU:2022-06373 | Уязвимость реализации функции Export Utility плагина Ultimate SMS Notifications for WooCommerce системы управления содержимым сайта WordPress, позволяющая нарушителю осуществлять межсайтовые сценарные атаки |
| BDU:2022-06603 | Уязвимость реализации функции Export Users плагина WP Users Exporter системы управления содержимым сайта WordPress, позволяющая нарушителю осуществлять межсайтовые сценарные атаки |
| BDU:2022-07483 | Уязвимость систем управления центрами обработки данных Huawei ManageOne, iManager NetEco, iManager NetEco 6000, связанная с отсутствием нейтрализации элементов в файле CSV, позволяющая нарушителю выполнить произвольный код |
| BDU:2023-01330 | Уязвимость средства отслеживания и анализа событий безопасности FortiAnalyzer, связанная с отсутствием нейтрализации элементов для файлов CSV, позволяющая нарушителю выполнить произвольный код |
| BDU:2023-04445 | Уязвимость веб-приложения phpMyFAQ, связанная с отсутствием нейтрализации элементов, позволяющая нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании |
| BDU:2023-06030 | Уязвимость службы управления корпоративным каталогом Watson Knowledge Catalog облачной платформы анализа, организации и управления данными IBM Cloud Pak for Data (CP4D), позволяющая нарушителю выполнить произвольные команды |
| BDU:2024-01823 | Уязвимость средства защиты информации IBM Security Guardium, связанная с отсутствием нейтрализации элементов для файлов CSV, позволяющая нарушителю выполнить произвольные команды |
| BDU:2024-02010 | Уязвимость сервера для управления программами Fortinet FortiClient Enterprise Management Server (EMS), связанная с отсутствием нейтрализации элементов для файлов CSV, позволяющая нарушителю выполнить произвольный код или команды |
| BDU:2024-04270 | Уязвимость компонентов members/moremember.pl и admin/aqbudgets.pl программного обеспечения автоматизации библиотечных процессов Koha, позволяющая нарушителю выполнить произвольные команды |
| BDU:2024-06235 | Уязвимость функции экспорта графического пользовательского интерфейса программного средства выявления угроз безопасности на основе искусственного интеллекта FortiAIOps, позволяющая нарушителю выполнить произвольные команды |
| BDU:2024-08714 | Уязвимость программного обеспечения управления и мониторинга систем видеонаблюдения и безопасности HikCentral Master Lite, связанная с отсутствием нейтрализации элементов для файлов CSV, позволяющая нарушителю выполнить произвольные команды |
| BDU:2025-01570 | Уязвимость графического интерфейса программного средства для согласования работы (оркестровки) систем кибербезопасности и для управления реагированием на инциденты в режиме реального времени Fortinet FortiSOAR, позволяющая нарушителю выполнить произв... |
| BDU:2025-02457 | Уязвимость программного обеспечения для управления гостиничным бизнесом KWHotel, связанная с отсутствием нейтрализации элементов в файле CSV, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2025-02544 | Уязвимость платформы защищённого обмена данными MFlash, связанная с отсутствием нейтрализации элементов для файлов CSV, позволяющая нарушителю выполнить произвольные команды |
| BDU:2025-11110 | Уязвимость программного обеспечения управления и мониторинга систем видеонаблюдения и безопасности HikCentral Master Lite, связанная с отсутствием нейтрализации элементов для файлов CSV, позволяющая нарушителю выполнить произвольные команды |
| BDU:2026-02084 | Уязвимость программная платформа для управления рисками RSA Archer, связанная с отсутствием нейтрализации элементов для файлов CSV, позволяющая нарушителю выполнить произвольный код |
Идентификаторы CVE уязвимостей
Идентификатор, базы данных общеизвестных уязвимостей информационной безопасности
| Идентификатор | Описание |
|---|---|
| CVE-2020-16214 | Philips Patient Monitoring Devices Improper Neutralization of Formula Elements in a CSV File |
| CVE-2020-25170 | B. Braun OnlineSuite |
| CVE-2020-36503 | Connections Business Directory < 9.7 - Admin+ CSV Injection |
| CVE-2021-1474 | Cisco Umbrella Link and CSV Formula Injection Vulnerabilities |
| CVE-2021-1475 | Cisco Umbrella Link and CSV Formula Injection Vulnerabilities |
| CVE-2021-22771 | A CWE-1236: Improper Neutralization of Formula Elements in a CSV File vulnerability exists in Easergy T300 with firmware V2.7... |
| CVE-2021-23286 | Security issues in Eaton Intelligent Power Manager Infrastructure |
| CVE-2021-24441 | Sign-up Sheets < 1.0.14 - Authenticated CSV Injection |
| CVE-2021-25960 | SuiteCRM - CSV Injection in Accounts Module |
| CVE-2021-25962 | Shuup - Formula Injection in Checkout Addresses |
| CVE-2021-37702 | Improper Neutralization of Formula Elements in a CSV File in pimcore/pimcore |
| CVE-2021-38180 | SAP Business One - version 10.0, allows an attacker to inject formulas when exporting data to Excel (CSV injection) due to im... |
| CVE-2021-38424 | Delta Electronics DIALink |
| CVE-2021-38963 | IBM Aspera Console CSV injection |
| CVE-2021-41270 | CSV Injection in Symfony |
| CVE-2022-0142 | Visual Form Builder < 3.0.6 - CSV Injection |
| CVE-2022-1194 | Mobile Events Manager < 1.4.8 - Admin+ CSV Injection |
| CVE-2022-1202 | WP-CRM <= 1.2.1 - CSV Injection |
| CVE-2022-1539 | Exports and Reports < 0.9.2 - Contributor+ CSV Injection |
| CVE-2022-1544 | Formula Injection/CSV Injection due to Improper Neutralization of Formula Elements in CSV File in luyadev/yii-helpers |
| CVE-2022-2027 | Improper Neutralization of Formula Elements in a CSV File in kromitgmbh/titra |
| CVE-2022-2112 | Improper Neutralization of Formula Elements in a CSV File in inventree/inventree |
| CVE-2022-22121 | NocoDB - CSV Injection in User Management |
| CVE-2022-2240 | Request a Quote <= 2.3.7 - CSV Injection |
| CVE-2022-22689 | CA Harvest Software Change Manager versions 13.0.3, 13.0.4, 14.0.0, and 14.0.1, contain a vulnerability in the CSV export fun... |
| CVE-2022-24770 | Improper Neutralization of Formula Elements in a CSV File in Gradio Flagging |
| CVE-2022-26867 | PowerStore SW v2.1.1.0 supports the option to export data to either a CSV or an XLSX file. The data is taken as is, without a... |
| CVE-2022-27858 | WordPress Activity Log plugin <= 2.8.3 - CSV Injection vulnerability |
| CVE-2022-2798 | Affiliates Manager < 2.9.14 - Affiliate CSV Injection |
| CVE-2022-3393 | Post to CSV by BestWebSoft <= 1.4.0 - Author+ CSV Injection |
| CVE-2022-3463 | FluentForm < 4.3.13 - CSV Injection |
| CVE-2022-35281 | IBM Maximo Application Suite command injection |
| CVE-2022-3558 | Import and export users and customers < 1.20.5 - Subscriber+ CSV Injection |
| CVE-2022-3574 | WPForms Pro < 1.7.7 - CSV Injection |
| CVE-2022-3600 | Easy Digital Downloads < 3.1.0.2 - Unauthenticated CSV Injection |
| CVE-2022-3603 | Export customers list CSV for WooCommerce < 2.0.69 - CSV Injection |
| CVE-2022-3604 | Contact Form Entries < 1.3.0 - CSV Injection |
| CVE-2022-3605 | WP CSV Exporter < 1.3.7 - CSV Injection |
| CVE-2022-3634 | Contact Form 7 Database Addon < 1.2.6.5 - CSV Injection |
| CVE-2022-38702 | WordPress WP CSV Exporter Plugin <= 2.0 is vulnerable to CSV Injection |
| CVE-2022-40294 | CSV Injection in PHP Point of Sale version 19.0, by PHP Point of Sale, LLC |
| CVE-2022-41616 | WordPress Export Users Data CSV Plugin <= 2.1 is vulnerable to CSV Injection |
| CVE-2022-41675 | TEAM JOHNLONG SOFTWARE CO., LTD. MAILD Mail Server - Formula Injection |
| CVE-2022-42882 | WordPress Simple CSV/XLS Exporter Plugin <= 1.5.8 is vulnerable to CSV Injection |
| CVE-2022-44738 | WordPress Posts and Users Stats Plugin <= 1.1.3 is vulnerable to CSV Injection |
| CVE-2022-45078 | WordPress User Blocker Plugin <= 1.5.5 is vulnerable to CSV Injection |
| CVE-2022-45348 | WordPress amr users Plugin <= 4.59.4 is vulnerable to CSV Injection |
| CVE-2022-45350 | WordPress Simple History Plugin <= 3.3.1 is vulnerable to CSV Injection |
| CVE-2022-45357 | WordPress 1003 Mortgage Application Plugin <= 1.75 is vulnerable to CSV Injection |
| CVE-2022-45360 | WordPress Commenter Emails Plugin <= 2.6.1 is vulnerable to CSV Injection |
| CVE-2022-45370 | WordPress WordPress Comments Import & Export Plugin <= 2.3.1 is vulnerable to CSV Injection |
| CVE-2022-45810 | WordPress Email Subscribers & Newsletters Plugin <= 5.5.2 is vulnerable to CSV Injection |
| CVE-2022-46801 | WordPress Site Reviews Plugin <= 6.2.0 is vulnerable to CSV Injection |
| CVE-2022-46802 | WordPress Product Reviews Import Export for WooCommerce Plugin <= 1.4.8 is vulnerable to CSV Injection |
| CVE-2022-46803 | WordPress Noptin Plugin <= 1.9.5 is vulnerable to CSV Injection |
| CVE-2022-46804 | WordPress Export Users Data Distinct Plugin <= 1.3 is vulnerable to CSV Injection |
| CVE-2022-46809 | WordPress ReviewX Plugin <= 1.6.7 is vulnerable to CSV Injection |
| CVE-2022-46821 | WordPress Emails & Newsletters with Jackmail Plugin <= 1.2.22 is vulnerable to CSV Injection |
| CVE-2022-47442 | WordPress UsersWP Plugin <= 1.2.3.9 is vulnerable to CSV Injection |
| CVE-2023-2258 | Improper Neutralization of Formula Elements in a CSV File in alfio-event/alf.io |
| CVE-2023-22719 | WordPress GiveWP Plugin <= 2.25.1 is vulnerable to CSV Injection |
| CVE-2023-22877 | IBM InfoSphere Information Server CSV injection |
| CVE-2023-23678 | WordPress WP Cookie Notice for GDPR, CCPA & ePrivacy Consent Plugin <= 2.2.5 is vulnerable to CSV Injection |
| CVE-2023-23796 | WordPress Form Builder Plugin <= 1.9.9.0 is vulnerable to CSV Injection |
| CVE-2023-25611 | A improper neutralization of formula elements in a CSV file vulnerability in Fortinet FortiAnalyzer 6.4.0 - 6.4.9, 7.0.0 - 7.... |
| CVE-2023-25983 | WordPress KB Support Plugin <= 1.5.84 is vulnerable to CSV Injection |
| CVE-2023-2629 | Improper Neutralization of Formula Elements in a CSV File in pimcore/customer-data-framework |
| CVE-2023-28958 | IBM Watson Knowledge Catalog CSV injection |
| CVE-2023-29109 | Code Injection vulnerability in SAP Application Interface Framework (Message Dashboard) |
| CVE-2023-3302 | Improper Neutralization of Formula Elements in a CSV File in admidio/admidio |
| CVE-2023-3493 | Improper Neutralization of Formula Elements in a CSV File in fossbilling/fossbilling |
| CVE-2023-3527 | Avaya Call Management System CSV injection vulnerability |
| CVE-2023-35899 | IBM Cloud Pak for Automation CSV injection |
| CVE-2023-36527 | WordPress Post to CSV by BestWebSoft Plugin <= 1.4.0 is vulnerable to CSV Injection |
| CVE-2023-37219 | Tadiran Telecom Composit - CWE-1236: Improper Neutralization of Formula Elements in a CSV File |
| CVE-2023-4006 | Improper Neutralization of Formula Elements in a CSV File in thorsten/phpmyfaq |
| CVE-2023-41798 | WordPress Directorist Plugin <= 7.7.1 is vulnerable to CSV Injection |
| CVE-2023-42004 | IBM Security Guardium CSV injection |
| CVE-2023-43071 | Dell SmartFabric Storage Software v1.4 (and earlier) contains possible vulnerabilities for HTML injection or CVS formula inj... |
| CVE-2023-45597 | A CWE-1236 “Improper Neutralization of Formula Elements in a CSV File” vulnerability in the “file_configuration” functionalit... |
| CVE-2023-47534 | A improper neutralization of formula elements in a csv file in Fortinet FortiClientEMS version 7.2.0 through 7.2.2, 7.0.0 thr... |
| CVE-2023-48709 | iTop vulnerable to potential formula injection in Excel/CSV export file |
| CVE-2024-22063 | ZTE ZENIC ONE R58 product has a CSV injection vulnerability |
| CVE-2024-25007 | Ericsson Network Manager - Improper Neutralization of Formula Elements Vulnerability |
| CVE-2024-27785 | An improper neutralization of formula elements in a CSV File vulnerability [CWE-1236] in FortiAIOps version 2.0.0 may allow a... |
| CVE-2024-28111 | CSV Injection in exported history CSV files |
| CVE-2024-28764 | IBM WebSphere Automation CSV injection |
| CVE-2024-3232 | Formula Injection Vulnerability |
| CVE-2024-45084 | IBM Cognos Controller CSV injection |
| CVE-2024-47572 | An improper neutralization of formula elements in a csv file in Fortinet FortiSOAR 7.2.1 through 7.4.1 allows attacker to exe... |
| CVE-2024-53260 | Course Roster vulnerable to CSV Injection in Autolab |
| CVE-2024-55532 | Apache Ranger: Improper Neutralization of Formula Elements in a CSV File |
| CVE-2024-9102 | phpLDAPadmin: Improper Neutralization of Formula Elements |
| CVE-2025-11254 | Contest Gallery – Upload, Vote & Sell with PayPal and Stripe <= 27.0.3 - Unauthenticated CSV Injection |
| CVE-2025-11279 | Axosoft Scrum and Bug Tracking Add Work Item csv injection |
| CVE-2025-11498 | CSV Formula Injection Vulnerability |
| CVE-2025-11576 | AI Chatbot Free Models – Customer Support, Live Chat, Virtual Assistant <= 1.6.5 - Unauthenticated CSV Injection |
| CVE-2025-12249 | Axosoft Scrum and Bug Tracking Edit Ticket csv injection |
| CVE-2025-1421 | Formula injection in a CSV file in Proget MDM |
| CVE-2025-1836 | Incorta Edit Insight csv injection |
| CVE-2025-35033 | Medical Informatics Engineering Enterprise Health CSV injection |
| CVE-2025-4546 | 1Panel-dev MaxKB Knowledge Base Module csv injection |
| CVE-2025-54752 | Multiple versions of PowerCMS improperly neutralize formula elements in a CSV file. If a product user creates a malformed en... |
| CVE-2025-55745 | UnoPim Quick Export feature is vulnerable to CSV injection |
| CVE-2025-58855 | WordPress AP HoneyPot WordPress Plugin Plugin <= 1.4 - Cross Site Request Forgery (CSRF) Vulnerability |
| CVE-2025-61873 | Best Practical Request Tracker (RT) before 4.4.9, 5.0.9, and 6.0.2 allows CSV Injection via ticket values when TSV export is... |
| CVE-2025-62417 | bagisto - CSV Formula Injection in Create New Product |
| CVE-2025-67851 | Moodle: moodle: formula injection allows arbitrary formula execution via unescaped data export |
| CVE-2025-6838 | Broken Link Notifier <= 1.3.0 - Authenticated (Contributor+) CSV Injection |
| CVE-2025-7061 | Intelbras InControl operador csv injection |
| CVE-2025-8767 | AnWP Football Leagues <= 0.16.17 - Authenticated (Administrator+) CSV Injection |
| CVE-2025-8808 | xujeff tianti 天梯 com.jeff.tianti.controller save exportOrder csv injection |
| CVE-2025-9241 | elunez eladmin exportUser csv injection |
| CVE-2026-23873 | HUSTOJ is Vulnerable to Stored CSV Injection (Formula Injection) in Contest Rank Export |
| CVE-2026-24447 | If a malformed data is input to the affected product, a CSV file downloaded from the affected product may contain such malfor... |
Мы используем cookie-файлы, чтобы получить статистику, которая помогает нам улучшить сервис для вас с целью персонализации сервисов и предложений. Вы может прочитать подробнее о cookie-файлах или изменить настройки браузера. Продолжая пользоваться сайтом, вы даёте согласие на использование ваших cookie-файлов и соглашаетесь с Политикой обработки персональных данных.