7.0
CVSS 4.0
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се локално, без особени условия, без вход и без действие от потребителя.
- Експлоатация: няма данни за експлоатация
- Атаката не може да се автоматизира
Описание
Оригинално описание
Versions of the package json-2-csv from 3.15.0 and before 5.5.11 are vulnerable to CSV Injection via the preventCsvInjection option which can be bypassed. An attacker can inject formulas into CSV files, which execute when the files are opened in spreadsheet applications.
Засегнати продукти
- n/a json-2-csv: 3.15.0 преди 5.5.11
- n/a org.webjars.npm:json-2-csv: всички версии
Вид слабост
История
- 28 май 2026 Публикувано
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-9673
- https://nvd.nist.gov/vuln/detail/CVE-2026-9673
- https://security.snyk.io/vuln/SNYK-JS-JSON2CSV-14221326
- https://security.snyk.io/vuln/SNYK-JAVA-ORGWEBJARSNPM-17115116
- https://github.com/mrodrig/json-2-csv/blob/main/src/json2csv.ts%23L410
- https://gist.github.com/whoamins/299745a2d36b482b44e9613b78e40613
- https://github.com/mrodrig/json-2-csv/commit/0fdd0bb6d0273178cd940afc323ccbce19688229