CVE-2026-23873 in hustoj
Tóm tắt
Bởi VulDB • 18/06/2026
hustoj là một hệ thống chấm bài trực tuyến mã nguồn mở dựa trên PHP/C++/MySQL/Linux dành cho việc đào tạo ACM/ICPC và NOIP. Tất cả các phiên bản đều dễ bị tấn công bởi CSV Injection (Formula Injection) thông qua chức năng xuất bảng xếp hạng cuộc thi (contestrank.xls.php và admin/ranklist_export.php). Ứng dụng không thực hiện kiểm tra đầu vào do người dùng cung cấp (cụ thể là trường "Nickname") trước khi xuất nó sang tệp .xls (tệp này được hiển thị dưới dạng bảng HTML nhưng mở bằng Excel). Nếu một kẻ tấn công đặt biệt danh của mình thành một công thức Excel, và quản trị viên tiến hành xuất cũng như mở danh sách xếp hạng trong Microsoft Excel, thì công thức đó sẽ được thực thi. Điều này có thể dẫn đến việc thực thi lệnh tùy ý (RCE) trên máy tính của quản trị viên hoặc đánh cắp dữ liệu. Bản sửa lỗi chưa sẵn có tại thời điểm công bố.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.