Usted está aquí:
Desactivar fórmula en informe
Configuración de toda la organización que elimina fórmulas de Excel de exportaciones de informes, evitando ataques de inyección de fórmulas maliciosas cuando los usuarios descargan datos confidenciales como hojas de cálculo.
Nombre de control
Gestión de informes - Desactive la fórmula en el informe.
Descripción general de control
Configuración de toda la organización que elimina fórmulas de Excel de exportaciones de informes, evitando ataques de inyección de fórmulas maliciosas cuando los usuarios descargan datos confidenciales como hojas de cálculo.
Descripción
Cuando se activa, Salesforce exporta informes solo como valores estáticos (no =FORMULATEXT(), no hay macros de VBA), lo que impide a los atacantes incrustar código ejecutable en campos de fórmula personalizados que se ejecutan al abrir en Excel/LibreOffice.
Configuración recomendada
Active la opción "Desactivar fórmula en informe para evitar la inyección de fórmula en la salida del informe" - Configuración en Configuración de informe/panel.
Repercusión en la seguridad
Elimina el vector principal para la distribución de malware basada en fórmulas a través de informes comerciales legítimos. Fuerza exportaciones estáticas seguras que protegen a los destinatarios descendentes de la ejecución automática de códigos.
Repercusión comercial
Mantiene la funcionalidad de exportación de informes mientras elimina los riesgos de seguridad de macros de Excel. No se requieren cambios de flujo de trabajo de usuario. Admite requisitos de cumplimiento para el uso compartido de datos seguro.
Riesgo de seguridad si no está configurado
Los informes de usuario contienen una posible vulnerabilidad de inyección de fórmulas cuando se exportan a Excel, lo que permite la entrega de malware a través de documentos comerciales de confianza.
Escenarios de amenazas
Mayor riesgo de ataques de inyección de fórmulas y ataques de revelación de información; los usuarios comprometidos con permisos de exportación de informes integran (=CMD('net user hacker password!/add') de fórmulas maliciosas, =HYPERLINK("javascript:malware()")) en campos de fórmula que se ejecutan cuando ejecutivos y equipos financieros abren CSV exportados en Excel.
Intervalo de puntuación de CVSS estimado
Crítico (9,0 a 10,0).
Consideraciones sobre el impacto del riesgo
Cada exportación de informe se convierte en un posible vector de malware; escalas de impacto con recuento de usuarios y frecuencia de distribución de informes; las fórmulas complejas legítimas deben volver a implementarse como campos de resumen estáticos.
Riesgo más alto cuando
Los usuarios externos exportan informes, los campos de fórmula personalizados contienen cálculos dinámicos, informes distribuidos a través de correo electrónico/Experience Cloud o equipos de finanzas/ventas de Excel.
Bajo riesgo cuando
Informes solo visualizados en la interfaz de usuario de Salesforce, sin campos de fórmula personalizados, solo usuarios internos, preferencia de exportación de PDF establecida.
Consideraciones comerciales y de integración
Comunique el cambio a usuarios con gran cantidad de informes; audite campos de fórmula existentes antes de activar; pruebe informes críticos en exportaciones de sandbox.
Directrices de revisión del estado de seguridad
Debe haberlo hecho.
Quién se ve afectado
Generadores de informes utilizando campos de fórmula, usuarios finales exportando a Excel, equipos de seguridad supervisando patrones de exportación, oficiales de cumplimiento verificando controles de colaboración de datos seguros.
