cve - 2021 - 41270:防止CSV注入通过公式

描述

CSV注入,也称为公式注入,发生在网站中嵌入CSV文件内不可信的输入。当一个电子表格程序打开一个CSV,任何细胞开始=解释软件的一个公式,可以被攻击者。

在Syob娱乐下载mfony 4.1中,我们添加了选择csv_escape_formulas选项CsvEncoder前缀所有细胞开始的=,+,- - - - - -或@由一个标签\ t。

此后,OWASP 2字符列表:添加选项卡(0 x09)——回车(0 x0d)

这使我们之前的前缀字符(选项卡\ t)的一部分弱势的角色,OWASP建议使用单引号”前缀的价值。

决议

ob娱乐下载Symfony现在遵循OWASP的建议和使用单引号”前缀公式并添加前缀细胞开始的\ t,r \以及=,+,- - - - - -和@。

这个问题是可用的补丁在这里4.4分支。

学分

我们想感谢杰克巴威尔报道的问题,杰里米·Derusse修复这个问题。