CVE-2026-23873
Açıklama
hustoj, ACM/ICPC ve NOIP eğitimleri için PHP/C++/MySQL/Linux tabanlı açık kaynaklı bir çevrimiçi yargıçtır. Tüm sürümler, yarışma sıralaması dışa aktarma işlevi (contestrank.xls.php ve admin/ranklist_export.php) üzerinden CSV Enjeksiyonuna (Formül Enjeksiyonu) karşı savunmasızdır. Uygulama, kullanıcı tarafından sağlanan girdileri (özellikle "Nickname" alanı), bir .xls dosyasına (.xls olarak kaydedilen ancak HTML tablosu şeklinde oluşturulan ve Excel ile açılan dosya) dışa aktarmadan önce temizlememektedir. Kötü niyetli bir kullanıcı takma adını bir Excel formülü olarak ayarlarsa ve bir yönetici sıralama listesini dışa aktarıp Microsoft Excel'de açarsa, formül yürütülecektir. Bu durum, yöneticinin makinesinde rastgele komut çalıştırılmasına (RCE) veya veri sızıntısına yol açabilir. Yayınlanma tarihinde bir düzeltme mevcut değildi.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| hustoj hustoj | v ≤ 26.01.31 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.