CVE-2019-14422

Se detectó un problema en TortoiseSVN versión 1.12.1. El manejador del URI Tsvncmd: permite una operación diff personalizada en los libros de trabajo de Excel, que podría ser usado para abrir libros de trabajo remotos sin protección de la configuración de seguridad de macros para ejecutar código arbitrario. Un URI tsvncmd:command:diff?path:[file1]?path2:[file2] ejecutará un diff personalizada en [file1] y [file2] en base de la extensión del archivo. Para los archivos xls, se ejecutará el script diff-xls.js usando wscript, que abrirá los dos archivos para su análisis sin ninguna advertencia de seguridad de macro. Un atacante puede explotar esto colocando un virus macro en una unidad de red y forzando a la víctima a abrir los libros de trabajo y ejecutar la macro en su interior.