fix(csv): neutralize spreadsheet formula prefixes in session export

.jules/sentinel.md

@@ -30,3 +30,8 @@
 **Vulnerability:** Known high-severity vulnerabilities discovered by the audit in `js-yaml` and `nanoid` packages.
 **Learning:** Deeply nested dependencies (`js-yaml` via `eslint`, `nanoid` via `vitest/vite`) may expose the application to DoS or logic loops.
 **Prevention:** Use `pnpm.overrides` in the root `package.json` to enforce patched versions across all transitive paths in a pnpm workspace.
+## 2024-05-18 - [HIGH] CSV 매크로 인젝션 취약점 방지
+
+**Vulnerability:** 사용자 입력(이름 등)이 CSV로 내보내기 될 때, `=, +, -, @` 등으로 시작하는 값을 검증하거나 이스케이프하지 않아 스프레드시트 프로그램에서 매크로로 실행될 수 있는 CSV Macro Injection(스프레드시트 인젝션) 취약점이 존재했습니다.
+**Learning:** 텍스트가 `=` 등의 특수문자로 시작하는지 확인할 때 단순히 첫 글자만 확인하면 안 되며, 공백이 포함된 경우(` `나 `\t`, `\r`, `\n`)를 무시하고 실제 텍스트가 특수문자로 시작하는지도 방어해야 한다는 것을 배웠습니다. 단순 정규식으로 앞 공백을 무시하여 검증해야 우회를 막을 수 있습니다.
+**Prevention:** CSV로 데이터를 내보내는 모든 기능에서 문자열 데이터를 처리할 때, 값이 `=, +, -, @, \t, \r, \n` 이나 그 전각 문자(full-width) 등으로 시작하는 경우 앞에 작은따옴표(`'`)를 붙이도록(escape) 공통 유틸리티 함수를 만들어 사용해야 합니다.

package.json

@@ -34,7 +34,9 @@
       "undici": "^7.29.0",
       "minimatch": "^10.0.0",
       "@hono/node-server": "^2.0.5",
-      "body-parser": "^2.3.0"
+      "body-parser": "^2.3.0",
+      "browserslist": "^4.28.9",
+      "deepmerge-ts": "^8.0.2"
     }
   }
 }

packages/web/src/app/api/orgs/[orgSlug]/dashboard/sessions/route.ts

@@ -9,6 +9,7 @@ import {
   assertOrgAccessBySlugOrResponse,
   resolveOrgScopedProjectIds,
 } from '@/lib/server/dashboard-route-helper'
+import { csvField } from '@/lib/server/csv/export'
 import { canAccessIndividualData, forbiddenByRole } from '@/lib/server/rbac'
 
 export const runtime = 'nodejs'
@@ -71,12 +72,6 @@ function mapSessionItem(session: SessionWithInclude): SessionItem {
   }
 }
 
-function csvField(value: string | number | null | undefined) {
-  if (value === null || value === undefined) return ''
-  const text = String(value)
-  return /[",\r\n]/.test(text) ? `"${text.replaceAll('"', '""')}"` : text
-}
-
 function buildSessionsCsv(sessions: SessionWithInclude[]) {
   const headers = [
     'Session ID',

packages/web/src/lib/server/csv/export.test.ts

@@ -0,0 +1,27 @@
+import { describe, it, expect } from 'vitest'
+import { csvField } from './export'
+
+describe('csvField', () => {
+  it('escapes macro injection characters', () => {
+    expect(csvField('=1+1')).toBe("'=1+1")
+    expect(csvField('+1+1')).toBe("'+1+1")
+    expect(csvField('-1+1')).toBe("'-1+1")
+    expect(csvField('@1+1')).toBe("'@1+1")
+    expect(csvField('\t1+1')).toBe("'\t1+1")
+    expect(csvField('\r1+1')).toBe("\"'\r1+1\"")
+    expect(csvField('\n1+1')).toBe("\"'\n1+1\"")
+    expect(csvField('  =1+1')).toBe("'  =1+1")
+    expect(csvField('\uFF1D1+1')).toBe("'\uFF1D1+1")
+  })
+
+  it('preserves numbers', () => {
+    expect(csvField(123)).toBe('123')
+    expect(csvField(-123)).toBe('-123')
+    expect(csvField(0)).toBe('0')
+  })
+
+  it('escapes quotes and newlines', () => {
+    expect(csvField('hello\nworld')).toBe('"hello\nworld"')
+    expect(csvField('hello"world')).toBe('"hello""world"')
+  })
+})

packages/web/src/lib/server/csv/export.ts

@@ -0,0 +1,18 @@
+export function csvField(value: string | number | null | undefined) {
+  if (value === null || value === undefined) return ''
+
+  if (typeof value === 'string') {
+    // Prevent CSV Injection (Macro Injection)
+    if (/^[=+\-@\t\r\n\uFF1D\uFF0B\uFF0D\uFF20]/.test(value)) {
+      value = `'${value}`
+    } else {
+      const trimmed = value.replace(/^\s+/, '')
+      if (trimmed.length !== value.length && /^[=+\-@\t\r\n\uFF1D\uFF0B\uFF0D\uFF20]/.test(trimmed)) {
+        value = `'${value}`
+      }
+    }
+  }
+
+  const text = String(value)
+  return /[",\r\n]/.test(text) ? `"${text.replaceAll('"', '""')}"` : text
+}