CSVインジェクション

`=`・`+`・`-`・`@`などで始まるCSVのフィールドが表計算ソフトに数式として解釈され、開いた別の利用者の環境で意図しない処理が実行されうる攻撃。

概念URI

https://comcomponent.com/knowledge/csv-injection/

別名・表記

Formula Injection

最終確認日

2026-08-01

機械可読データ

JSON-LD

この概念が関わる関係

• CSV(カンマ区切り値)はCSVインジェクションの原因になることがあります。ユーザーが入力した値をCSVに出力してExcelで開かせるアプリは、CSVインジェクションという攻撃経路を持つことがある / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
• 数式先頭文字の無害化(CSVインジェクション対策)はCSVインジェクションを軽減します。数式として解釈されうる先頭文字にシングルクォートを付けて無害化することで、CSVインジェクションを軽減できる。ただし危険な先頭文字の一覧は表計算ソフトの実装・バージョンによって変わりうるため、既知の文字を列挙するだけの無害化では想定漏れが残り得る / 確度: 確立した関係 / 確認日: 2026-08-01 出典

この概念を扱う記事

• CSVは「ただのテキスト」ではない ── C#業務アプリのCSV実務(文字コード・Excel互換・インジェクション対策)(言及)

一次資料

• https://owasp.org/www-community/attacks/CSV_Injection

このページはサイトの知識グラフ(_data/knowledge/)から自動生成されています。誤りの指摘はお問い合わせからお願いします。