CVE-2026-23873
Təsvir
hustoj, ACM/ICPC və NOIP təlimləri üçün PHP/C++/MySQL/Linux əsaslı açıq mənbəli onlayn hakim sistemidir. Bütün versiyalar yarışma reytinqinin ixrac funksionallığı (contestrank.xls.php və admin/ranklist_export.php) vasitəsilə CSV İnyeksiyasına (Formula İnyeksiyası) qarşı həssasdır. Tətbiq istifadəçi tərəfindən daxil edilmiş məlumatları (xüsusilə "Nickname" sahəsini) .xls faylına (HTML cədvəli kimi render olunur, lakin Excel tərəfindən açılır) ixrac etməzdən əvvəl təmizləmir. Zərərli istifadəçi öz ləqəbini Excel formuluna çevirdikdə, administrator reytinq siyahısını Microsoft Excel-də ixrac edib açdıqda həmin formula icra olunacaqdır. Bu, administratorun kompüterində ixtiyari əmrlərin icrasına (RCE) və ya məlumat sızmasına səbəb ola bilər. Nəşr edildiyi vaxtda düzəliş mövcud deyildi.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| hustoj hustoj | v ≤ 26.01.31 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.