valeriocassoni/csv-injection-in-instant-developer-foundation-25.0-pocこのリポジトリには、Instant Developer Foundationフレームワーク（25.0より前のバージョン）で構築されたアプリケーションに影響を与えるCSVインジェクション（Formula Injection）脆弱性（CVE-2025-60852）の概念実証（PoC）が含まれています。
このリポジトリには、Instant Developer Foundationフレームワーク（バージョン25.0.9600未満）を使用して構築されたアプリケーションに影響を与える**CSVインジェクション（数式インジェクション）**脆弱性（CVE-2025-60852）の概念実証（PoC）が含まれています。脆弱なフレームワークを使用して構築されたアプリケーションは、CSV形式でデータをエクスポートする際にユーザー提供の入力を適切にサニタイズしません。
その結果、Microsoft ExcelやLibreOffice Calcなどの表計算ソフトウェアが特定の値を数式として解釈します。
観察された動作:
任意のユーザー制御可能な入力フィールドに次のペイロードを挿入します。
+CMD|' /C calc'!A0
エクスポートされたCSVファイルが、DDE起動が有効なExcelで開かれると、ペイロードはWindows上で calc.exe の実行をトリガーします。
上記のペイロードを、CSV形式でエクスポート可能なテーブル内のユーザー制御可能な入力フィールド（Instant Developer Foundation < 25.0で構築されたアプリケーション内）に挿入します。
テーブルをCSVとしてエクスポートします。
エクスポートされたCSVファイルをMicrosoft ExcelまたはLibreOffice Calcで開きます。
ExcelでDDE起動が有効になっている場合、システムの電卓（calc.exe）が実行されます。
🔗 リリースノート: Instant Developer Foundation - バージョン 25.0.9600
このPoCは厳密に教育および研究目的で作成されました。
明示的な許可なくシステムやアプリケーションに対して使用しないでください。
著者はこの資料の誤用に対する一切の責任を負いません。
