CSV फ़ॉर्मूला इंजेक्शन और सुरक्षित एक्सपोर्ट

वेब फ़ॉर्म या डेटाबेस के मान CSV में हों, तो Excel, LibreOffice Calc या अन्य स्प्रेडशीट `=` जैसे अक्षर से शुरू होने वाले सेल को फ़ॉर्मूला मान सकती है। यदि हमलावर उस इनपुट को नियंत्रित कर सकता है, तो ऐप के व्यवहार या उपयोगकर्ता की कार्रवाई से जानकारी उजागर हो सकती है या अन्य नुकसान हो सकता है। असर ऐप और उसकी सेटिंग पर निर्भर है।

किसी फ़ील्ड को दोहरे उद्धरण चिह्नों में रखना और उसके भीतर के उद्धरणों को एस्केप करना सिंटैक्स का काम है: इससे कॉमा और लाइन ब्रेक उसी फ़ील्ड में रहते हैं। स्प्रेडशीट उस सेल को फ़ॉर्मूला मानेगी या नहीं, यह अलग चरण है। सही CSV एस्केपिंग अपने-आप यह साबित नहीं करती कि फ़ॉर्मूला इंजेक्शन रुक गया है।

पहले मशीन प्रोसेसिंग के लिए CSV और लोगों द्वारा स्प्रेडशीट में खोली जाने वाली फ़ाइलों को अलग समझें। दूसरे मामले में ऐसी लाइब्रेरी या फ़ॉर्मेट पर विचार करें जो मान को स्पष्ट रूप से टेक्स्ट के रूप में सहेज सके। CSV आवश्यक हो तो `=`, `+`, `-` या `@` से शुरू होने वाले मानों के साथ लक्षित ऐप का व्यवहार जाँचें और उसी के लिए उपाय चुनें। आगे टैब या apostrophe जोड़ना संगतता बिगाड़ सकता है या मूल मान बदल सकता है, इसलिए यह सार्वभौमिक समाधान नहीं है।

अविश्वसनीय मानों में कॉमा, सेमीकोलन, उद्धरण चिह्न और लाइन ब्रेक हों, तो गलत आउटपुट से अनचाहे सेल बन सकते हैं। नया सेल फ़ॉर्मूला संकेत से शुरू हो सकता है। फ़ील्ड सही ढंग से एन्कोड करने के लिए मानक CSV लाइब्रेरी इस्तेमाल करें और लक्षित ऐप में फ़ॉर्मूला की व्याख्या अलग से संभालें। केवल स्ट्रिंग जोड़ने या पहले अक्षर की जाँच पर निर्भर न रहें।

समर्थित स्प्रेडशीट में शुरुआती खाली जगह, नियंत्रण अक्षर, डिलिमिटर और उद्धरण चिह्न जैसे किनारी मामलों की जाँच करें। सहेजने और फिर खोलने का चक्र भी शामिल करें। OWASP चेतावनी देता है कि Excel CSV सहेजते और फिर खोलते समय उद्धरण या एस्केप हटा सकता है, जिससे पहले निष्क्रिय मान फिर से फ़ॉर्मूला बन सकता है। मशीनों के स्रोत डेटा को स्प्रेडशीट देखने हेतु बदले गए आउटपुट से अलग रखें।