JVNDB-2026-033541

Grokability, Inc.のSnipe-ITにおけるCSV ファイル内の数式要素の中和に関する脆弱性

Snipe-IT バージョン 8.6.3 までの「未承認資産」承認レポートのCSVエクスポートにおいて、数式要素の無害化が行われていません。ReportsController::postAssetAcceptanceReport はCSVを手動で（カンマを削除し行を手作業で結合して）構築しており、同コントローラー内の他の6つのエクスポートとは異なり、League\Csv\EscapeFormula を適用しておらず、また config('app.escape_formulas') 設定も反映していません。認証された低権限ユーザーは、レポートに表示される任意のレコード（資産名／タグ、会社名、カテゴリ、モデル、または担当者の表示名）の自由入力フィールドに対して、=、+、-、@、タブ、または改行で始まる値を設定できます。reports.view 権限を持つユーザーが該当する汚染されたレコードを参照する保留中のチェックアウト承認のエクスポート（POST /reports/unaccepted_assets）をリクエストし、生成されたCSVをExcel、LibreOffice Calc、またはGoogle Sheetsで開くと、挿入された内容が数式として実行されます。これにより、データの流出（例：HYPERLINK／WEBSERVICE）が可能になり、レガシーなWindows Excel構成ではDDEコマンドの実行を許してしまいます。本問題はバージョン8.7.0で修正されました。

Grokability, Inc.

• Snipe-IT 8.7.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアの一部が停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : CSV Formula Injection in Asset Acceptance Report Export  Advisory  grokability/snipe-it  GitHub

VulnCheck

• VulnCheck : Snipe-IT before 8.7.0 CSV Formula Injection via Asset Acceptance Report  | Advisories | VulnCheck

1. CSV ファイル内の数式要素の不適切な中和(CWE-1236) [その他]

1. CVE-2026-86742

1. National Vulnerability Database (NVD) : CVE-2026-86742
2. 関連文書 : Fixed FD-56817 - added escape forumula to locaiton scoping mismatch CSV  grokability/snipe-it@6976f12  GitHub

• [2026年09月15日]
    掲載