Hacktoberfest 2026: los issues que los mantenedores marcaron para octubre, abiertos y aptos para principiantes. Explorar issues de Hacktoberfest

[BUG]: Security: CSV Formula Injection (CWE-1236) in repository and contributor export files

Abierto Apto para principiantes
  • ¿Algo no está bien?
#370 1 comentario 0 reacciones 0 asignados Ver en GitHub

Los mantenedores suelen responder en 4 días

@kul-91 ya está trabajando en esto.

Desde el 23/10/2026.

  • #405 de @kul-91 — abierto

Evaluación

Dificultad
2/5
Tiempo estimado
1-3 horas
Aptitud para principiantes
78/100
Tipo de issue
Error
Claridad
Bien especificado
Estado de actividad
Activo
Stack tecnológico
javascript
Área
data, security

Línea de trabajo

Empieza por src/services/analytics.js y revisa exportReposCSV, exportContributorsCSV y exportTrendsCSV para ver cómo se ensamblan sus valores en filas CSV. Añade pruebas en el archivo de pruebas de analytics indicado en el issue, que cubran prefijos que activan fórmulas y valores ordinarios. El trabajo estará terminado cuando las tres exportaciones neutralicen las celdas con fórmulas y escapen correctamente los delimitadores CSV, y las pruebas pasen.

Escrito por el modelo de indexación a partir del texto del issue.

Descripción

bug
Bug Description

The CSV export utilities in src/services/analytics.js (exportReposCSV, exportContributorsCSV, exportTrendsCSV) do not sanitize cell values against Formula Injection (Spreadsheet Injection / CWE-1236).

When repository names, organization logins, or contributor usernames on GitHub start with formula execution trigger characters (=, +, -, @, \t, \r), OrgExplorer exports them directly into the generated .csv files without neutralization.

If a user downloads the CSV and opens it in spreadsheet applications (Microsoft Excel, LibreOffice Calc, Google Sheets), the application interprets the text as an executable formula. This enables Dynamic Data Exchange (DDE) formula execution, malicious external link opening, or data exfiltration.

Vulnerable code (src/services/analytics.js):

export function exportReposCSV(repos) {
  const header = ['Repository', 'Org', 'Stars', 'Forks', 'Open Issues', 'Health Score', 'Activity Classification', 'Language', 'Last Active']
  const rows = repos.map(r => [r.name, r.orgLogin, r.stargazers_count, r.forks_count, r.open_issues_count, r.healthScore, r.activityClassification, r.language || 'N/A', r.pushed_at?.slice(0, 10)])
  download([header, ...rows].map(r => r.join(',')).join('\n'), 'orgexplorer-repos.csv')
}
Steps to Reproduce
  1. On GitHub, a repository, organization, or contributor profile has a name starting with formula characters, e.g.:
    =cmd|' /C calc'!A0 or @SUM(1+1)*cmd|... or +http://attacker.com/leak
  2. Explore that organization or repository in OrgExplorer.
  3. Click "Export CSV" on the Repositories or Contributors page.
  4. Open the downloaded .csv file in Microsoft Excel or LibreOffice.
  5. Notice that the spreadsheet software evaluates the cell as a dynamic formula command instead of literal plain text.
Demonstration / Payload Sample

Generated CSV content without neutralization:

Repository,Org,Stars,Forks,Open Issues,Health Score,Activity Classification,Language,Last Active
=cmd|' /C calc'!A0,AOSSIE-Org,120,45,2,95,Active,JavaScript,2026-10-18
@SUM(1+1)*cmd|' /C calc'!A0,test-org,50,10,0,88,Active,TypeScript,2026-10-18

When opened in Excel / Calc:

  • The cell executes as a formula or throws a formula syntax error (#NAME? / DDE security warning) because the leading = or @ instructs the spreadsheet parser to treat it as executable logic.
Environment Details
  • Applicable across all operating systems (Windows, macOS, Linux) and spreadsheet applications (Excel, LibreOffice, Google Sheets).
  • Code location: src/services/analytics.js
Impact

High - Major security & data export risk (CWE-1236)

Proposed Fix

Implement cell sanitization adhering to OWASP CSV Injection guidelines:

  1. If a string cell starts with any formula operator (=, +, -, @, \t, \r), prefix the value with a single quote ' so the spreadsheet engine forces it to render strictly as literal text.
  2. Combine this with RFC 4180 delimiter escaping (wrapping fields containing commas, quotes, or newlines in double quotes).
  3. Add unit test coverage in src/services/analytics.*.test.js verifying that formula characters are neutralized without corrupting standard alphanumeric values.
Lenguaje dominante
JavaScript
Estrellas
45
Forks
148
Merge medio
5 d 14 h
PR fusionados (30 d)
30

Preparar el entorno

Primeros pasos

  1. Lee el issue completo y luego la guía de contribución del proyecto.
  2. Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
  3. Haz un fork del repositorio y trabaja en una rama.
  4. Abre un pull request que haga referencia al número del issue.

Más de AOSSIE-Org/OrgExplorer

Todos los issues de AOSSIE-Org/OrgExplorer

Issues similares

Más issues de JavaScript

Recibe los nuevos issues en tu correo

Un resumen breve de issues de GitHub para principiantes.