CVE-2020-36941CVE-2020-36941是Knockpy 4.1.1版本中的CSV注入漏洞，CVSS评分高达9.8，属于严重级别。该漏洞允许攻击者通过未经过滤的服务器响应头注入恶意公式到CSV文件中。当用户打开生成的CSV报告时，电子表格应用程序会执行这些恶意公式，可能导致远程代码执行或敏感数据泄露。攻击者利用此漏洞可以完全控制受害者的系统。
Knockpy在处理服务器响应头时未进行适当的输入验证和过滤，攻击者可以在响应头中嵌入以等号(=)开头的公式。当这些数据被写入CSV文件后，打开文件时Excel或类似应用程序会将其解释为公式并执行。攻击者可通过构造特定的HTTP响应头来触发漏洞，例如在响应头中注入=cmd|' /C calc'!A0这样的命令来执行系统命令。