CVE-2026-23873

hustoj (الإصدارات المتأثرة غير محددة)

hustoj هو نظام تحكيم عبر الإنترنت مفتوح المصدر يعتمد على PHP/C++/MySQL/Linux. التطبيق معرض لخطر حقن CSV (حقن الصيغة) من خلال وظيفة تصدير تصنيف المسابقة، وتحديدًا في الملفين contestrank.xls.php وadmin/ranklist export.php. لا يقوم النظام بتنقية المدخلات التي يقدمها المستخدم بشكل مناسب، لا سيما الحقل Nickname، قبل تضمينها في ملفات .xls المصدرة. يمكن للمهاجم استغلال هذه الثغرة عن طريق تعريف اسمه المستعار كصيغة في Excel. وعندما يفتح أحد المسؤولين قائمة الترتيب المصدرة في Microsoft Excel، سيتم تنفيذ الصيغة الخبيثة، مما قد يؤدي إلى التنفيذ التعسفي للأوامر (RCE) على جهاز المسؤول أو إلى تسريب البيانات.

لا توجد حاليًا أي معلومات عن إصدار أحدث يحتوي على تصحيح لهذه الثغرة الأمنية.