CSV 注入清洗程序忽略回车 (\r) 前缀
作者: AnishPatel526创建于 2026年9月9日更新于 2026年9月16日
描述错误 gradio.utils.sanitize_value_for_csv 通过在以危险字符开头的值前面加上前缀来防止 CSV/公式注入。OWASP 所引用的函数将危险的前缀列举为 =,+,-,@,Tab (0x09) 和 Carriage Return (0x0D)。当前的 unsafe_prefixes 列表中包含了 Tab (\t)，但不包含 Carriage Return (\r):
内容来源: gradio-app/gradio