关键信息总结 漏洞概述 漏洞类型: CSV/XLSX Injection 受影响版本: eladmin ≤ 2.7 CVE编号: CWE-1236 描述: 在eladmin的多个端点中，当导出数据为CSV或XLSX格式时，应用程序未能正确处理特殊字符（如 和 ），导致恶意的电子表格公式被注入。 漏洞细节 易受攻击代码示例: 利用方法: - 发送请求到 注册包含恶意XLSX公式的用户名。 - 下载生成的XLSX文件并在电子表格应用中打开以触发注入的公式。 影响范围 受影响端点: 共计19个端点，包括 , , 等等。 潜在影响: - 客户端机器上执行恶意电子表格公式。 - 可能通过外部请求泄露敏感信息。 - 在特定配置下，存在本地代码执行的风险。 缓解措施 对所有字段进行严格的序列化，在导出至CSV/XLSX前确保特殊字符如 、 、 等在单元格开始处被适当转义或移除。 参考资料 OWASP关于CSV Injection的社区文档