CSV 수식 인젝션과 안전한 내보내기

웹 폼이나 데이터베이스의 값이 CSV에 포함되면 Excel, LibreOffice Calc 등의 스프레드시트가 `=` 같은 문자로 시작하는 셀을 수식으로 해석할 수 있습니다. 공격자가 입력을 제어하면 앱 동작이나 사용자 행동을 통해 정보가 노출되거나 다른 피해가 발생할 수 있습니다. 실제 영향은 프로그램과 설정에 따라 다릅니다.

필드를 큰따옴표로 감싸고 내부 따옴표를 이스케이프하는 것은 쉼표나 줄바꿈을 의도한 필드 안에 유지하기 위한 문법 처리입니다. 스프레드시트가 셀을 수식으로 보는지는 별도의 해석 단계입니다. CSV 이스케이프가 올바르다는 이유만으로 수식 인젝션이 방지됐다고 볼 수 없습니다.

먼저 자동 처리용 CSV와 사람이 스프레드시트에서 열 파일을 구분하세요. 후자라면 값을 명시적으로 텍스트로 저장할 수 있는 스프레드시트 라이브러리나 형식을 고려하세요. CSV가 꼭 필요하다면 `=`, `+`, `-`, `@` 등으로 시작하는 값을 대상 앱이 어떻게 처리하는지 시험하고 그 앱에 맞는 대책을 선택하세요. 앞에 탭이나 아포스트로피를 붙이면 호환성에 영향을 주거나 원래 값이 바뀔 수 있어 보편적인 해결책이 아닙니다.

신뢰할 수 없는 값에 쉼표, 세미콜론, 따옴표, 줄바꿈이 있고 출력을 잘못 만들면 의도치 않은 셀이 생길 수 있습니다. 새 셀이 수식 기호로 시작할 수도 있습니다. 표준 CSV 라이브러리로 필드를 올바르게 인코딩하고 대상 앱의 수식 해석은 별도로 다루세요. 문자열 연결이나 입력의 첫 문자 검사에만 의존하지 마세요.

지원 대상 스프레드시트에서 앞쪽 공백, 제어 문자, 구분자, 따옴표 등 대표적인 경계값을 시험하고 저장 후 다시 여는 과정도 확인하세요. OWASP는 Excel이 CSV를 저장하고 다시 열 때 인용 부호나 이스케이프를 제거해, 처리했던 값이 다시 수식으로 활성화될 수 있다고 경고합니다. 기계 처리용 원본 데이터는 스프레드시트 보기용으로 변환한 출력과 분리해 보관하세요.