CVE-2026-23873

Nome do Software Vulnerável e Versões Afetadas hustoj (versões afetadas não especificadas)

Descrição hustoj é um sistema de julgamento online de código aberto baseado em PHP/C++/MySQL/Linux. A aplicação é suscetível a CSV Injection (Injeção de Fórmula) através da funcionalidade de exportação de ranking do concurso, especificamente nos arquivos contestrank.xls.php e admin/ranklist export.php. O sistema não sanitiza adequadamente a entrada fornecida pelo usuário, particularmente o campo Nickname, antes de incluí-la nos arquivos .xls exportados. Um atacante pode explorar isso definindo seu nickname como uma fórmula do Excel. Quando um administrador abre a lista de ranking exportada no Microsoft Excel, a fórmula maliciosa será executada, potencialmente levando à execução arbitrária de comandos (RCE) na máquina do administrador ou à exfiltração de dados.

Recomendações Atualmente, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.