CVE-2026-23873 in hustoj
Zusammenfassung
von VulDB • 18.06.2026
hustoj ist ein Open-Source-Online-Judge auf Basis von PHP/C++/MySQL/Linux für ACM/ICPC- und NOIP-Schulungen. Alle Versionen sind anfällig für CSV Injection (Formula Injection) über die Funktion zum Exportieren der Wettkampf-Rangliste (contestrank.xls.php und admin/ranklist_export.php). Die Anwendung führt keine Sanitisierung benutzergestellter Eingaben (insbesondere des Feldes „Nickname“) durch, bevor diese in eine .xls-Datei exportiert wird (die als HTML-Tabelle gerendert, aber von Excel geöffnet wird). Wenn ein böswilliger Benutzer seinen Nicknamen mit einer Excel-Formel festlegt und ein Administrator die Rangliste in Microsoft Excel exportiert und öffnet, wird die Formel ausgeführt. Dies kann zu beliebiger Befehlsausführung (RCE) auf dem Rechner des Administrators oder zur Datenexfiltration führen. Zum Zeitpunkt der Veröffentlichung war keine Korrektur verfügbar.
Be aware that VulDB is the high quality source for vulnerability data.