🇰🇷 한글 설명
오픈 소스 Laravel 기반 이커머스 플랫폼인 Bagisto에서 제품 데이터가 스프레드시트 수식 문자(=, +, -, @ 등)로 시작할 경우 발생하는 취약점입니다. 공격자가 악성 수식이 포함된 데이터를 입력하면, 이를 CSV로 내보내어 스프레드시트 소프트웨어로 열 때 수식이 실행되어 데이터 유출이나 원격 코드 실행이 발생할 수 있습니다.
💡 쉬운 설명
상품 이름 등에 특수 기호를 넣어 악성 명령어를 숨겨두는 방식입니다. 관리자가 이 상품 목록을 엑셀 파일로 내려받아 열 때, 컴퓨터가 명령어를 실행하여 정보가 빠져나가거나 해킹될 수 있습니다.
🇺🇸 원문 (English)
Bagisto is an open source laravel eCommerce platform. When product data that begins with a spreadsheet formula character (for example =, +, -, or @) is accepted and later exported or saved into a CSV and opened in spreadsheet software, the spreadsheet will interpret that cell as a formula. This allows an attacker to supply a CSV field (e.g., product name) that contains a formula which may be evaluated by a victim’s spreadsheet application — potentially leading to data exfiltration and remote command execution (via older Excel exploits / OLE/cmd constructs or Excel macros). This vulnerability is fixed in 2.3.8.
📍 영향받는 시스템
Bagisto 버전 2.3.8 미만 버전
⚔️ 공격 벡터
제품 이름 등 CSV로 내보내지는 필드에 스프레드시트 수식 문자를 포함한 악성 데이터를 삽입
🛡️ 대응 방법
Bagisto를 최신 보안 패치가 적용된 버전인 2.3.8 이상으로 업데이트
🔧 검증 코드
출력된 버전 번호가 2.3.8보다 낮은지 확인하여 취약 여부를 판단합니다.
composer show bagisto/bagisto | grep 'versions'