CVE-2026-23873 in hustoj
Resumen
por VulDB • 2026-06-18
hustoj es un sistema de evaluación en línea de código abierto basado en PHP/C++/MySQL/Linux para la formación en ACM/ICPC y NOIP. Todas las versiones son vulnerables a CSV Injection (Inyección de Fórmulas) a través de la funcionalidad de exportación del ranking de concursos (contestrank.xls.php y admin/ranklist_export.php). La aplicación no sanitiza la entrada proporcionada por el usuario (específicamente el campo "Nickname") antes de exportarla a un archivo .xls (que se representa como una tabla HTML pero es abierta por Excel). Si un usuario malicioso establece su apodo como una fórmula de Excel cuando un administrador exporta y abre la lista de clasificación en Microsoft Excel, la fórmula se ejecutará. Esto puede conducir a la ejecución arbitraria de comandos (RCE) en la máquina del administrador o al exfiltración de datos. No había ninguna corrección disponible en el momento de la publicación.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.