CSV インジェクション.

CSV インジェクション(数式インジェクション)は、=・+・-・@・タブや改行で始まるセルを自動評価するスプレッドシートアプリの仕様を悪用します。Web アプリが攻撃者の入力を保存し後に CSV としてエクスポートすると、開かれたワークブックは DDE の呼び出し、リモート URL への接続、データ流出、マルウェアの取得などを実行する可能性があります。リスクはファイルの利用者側に存在し、データベース自体にはないため、コードレビューでも見落とされやすい点が特徴です。対策は、危険な文字で始まるセルに先頭シングルクォートなどの安全なプレフィックスを付加し、エクスポート前にフィールドを検証・エスケープし、利用者に対し不信頼なスプレッドシートを開く際の注意を促すことです。