Inyección CSV.

La inyección CSV, también llamada inyección de fórmulas, abusa de las aplicaciones de hoja de cálculo que evalúan automáticamente las celdas que comienzan con =, +, -, @ o un tabulador o salto de línea. Cuando una aplicación web almacena entrada del atacante y luego la exporta a CSV, el libro resultante puede invocar DDE, contactar URLs remotas, exfiltrar datos o instalar malware al abrirlo. El riesgo recae en el consumidor del archivo, no en la base de datos, por lo que se pasa por alto fácilmente. Las defensas incluyen anteponer una comilla simple u otro prefijo seguro en cualquier celda que comience con un carácter peligroso, validar y escapar los campos antes de exportarlos y advertir a los usuarios antes de abrir hojas no confiables.