Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-1236

CVE-2026-111038

Coupa Total Spend Management Platform'da CSV formül enjeksiyonu açığı

Coupa Total Spend Management Platform

Yüksek 7,3 CVSS 4.0
Yayımlandı
Güncellendi
4 Kas 2026
Açık yaşı
2 gün
Kaydı açan
INCIBE

Yönetici özeti

Bu açık, platformdan indirilen dosyalar aracılığıyla çalışanlarınızın bilgisayarlarını hedef alabilir. Saldırgan, dışa aktarılan bir dosyayı açan kişinin yetkileriyle istenmeyen işlemler yaptırabilir. Tedarikçi henüz bir çözüm yayımlamadığı için bu riskin takibi ve dikkatli kullanım önlemleri önemlidir.

ÖzetTürkçe

Coupa Supplier Portal SaaS platformunun dışa aktarma özelliğinde CSV formül enjeksiyonu açığı bulunmaktadır. Tedarikçi etkinlik adları veya Tenders modülündeki şablonlar gibi kullanıcı kontrolündeki veriler doğrulanmadan ya da temizlenmeden oluşturulan CSV dosyalarına eklenmektedir. Düşük yetkili bir saldırgan, hücre çalıştırılabilir ifadeler içeren değerler girebilmektedir.

Saldırgan ne yapabilir?

Dosyayı açan kullanıcının tarayıcısında ve elektronik tablo uygulamasında, DDE gibi yöntemlerle komut çalıştırılması, bilgilere erişim ve kurbanın yetkisi altında sistem kaynaklarıyla etkileşim sağlanabilir.

Kaynaktaki açıklama (İngilizce)

CSV formula injection vulnerability in the export functionality of the Coupa Supplier Portal SaaS platform. The vulnerability arises because certain user-controlled data, such as event names or templates within the Tenders module, are not properly validated or sanitised before being included in CSV files generated by the application. An attacker with low privileges can input specially crafted values that begin with characters interpreted as formulas by spreadsheet applications. When a victim downloads and opens the generated file in a compatible client, the content may be interpreted as a formula, potentially leading to unauthorised actions such as the execution of commands via mechanisms such as DDE, access to information, or interaction with system resources under the victim’s context.

Üreticinin çözüm notu (İngilizce)

No solution has been reported as yet.

Ne yapmalı?

  1. Tedarikçi henüz bir çözüm bildirmemiştir. Coupa'nın güvenlik güncellemelerini ve duyurularını düzenli olarak takip edin. Üretici
  2. Coupa platformundan indirilen CSV dosyalarını, özellikle bilinmeyen veya beklenmedik kaynaklardan gelen verilerle ilgili olanları, doğrudan elektronik tablo uygulamasında açmak yerine önce metin düzenleyicide inceleyin. Genel öneri
  3. Elektronik tablo uygulamalarında dış bağlantı ve DDE gibi otomatik komut çalıştırma özelliklerini mümkünse devre dışı bırakın veya kısıtlayın. Genel öneri
  4. Dışa aktarılan dosyalardaki hücrelerin '=', '+', '-' ve '@' gibi karakterlerle başlayıp başlamadığını kontrol edin ve şüpheli içerikleri açmadan önce temizleyin. Genel öneri

Ek önlemler

  • Dosyaları açmadan önce kaynağını doğrulayın ve tedarikçi portalından gelen beklenmedik dosyalara karşı dikkatli olun. Genel öneri
  • Elektronik tablo uygulamalarını ve işletim sistemi güvenlik yamalarını güncel tutun. Genel öneri
  • Düşük yetkili kullanıcıların portal üzerinde veri girişi yetkilerini gerektiği ölçüde sınırlayın. Genel öneri

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Coupa Total Spend Management Platform Sürüm belirtilmemiş –

Kaynaklar3 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.