CVE-2026-23873 in hustoj
Сводка
по VulDB • 18.06.2026
hustoj — это система онлайн-судейства с открытым исходным кодом, разработанная на PHP/C++/MySQL/Linux для подготовки к соревнованиям ACM/ICPC и NOIP. Все версии уязвимы к CSV Injection (Injection формул) через функциональность экспорта таблицы лидеров конкурса (contestrank.xls.php и admin/ranklist_export.php). Приложение не осуществляет санитизацию пользовательских данных (в частности, поля «Nickname») перед их экспортом в файл .xls (который отображается как HTML-таблица, но открывается в Excel). Если злоумышленник установит свое имя пользователя равным формуле Excel, а администратор выполнит экспорт и откроет таблицу лидеров в Microsoft Excel, эта формула будет выполнена. Это может привести к произвольному выполнению команд (RCE) на машине администратора или утечке данных. Исправление отсутствовало на момент публикации.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.