CVE-2023-54348ERPGo SaaS 3.9版本存在严重的CSV注入漏洞。该漏洞源于系统未对导出功能中的用户输入进行严格的安全过滤。经过身份认证的攻击者可以在创建供应商的过程中，向供应商名称字段恶意植入Excel公式载荷。一旦受影响的CSV文件被导出并由管理员使用电子表格软件（如Microsoft Excel）打开，恶意公式将自动触发，最终导致攻击者在目标系统上执行任意代码，造成严重的安全风险。
该漏洞属于典型的CSV注入（Formula Injection）漏洞。其根本原因在于ERPGo SaaS在处理供应商创建请求时，未对“供应商名称”等关键字段进行有效的输入消毒和输出转义。攻击者利用低权限账户登录系统后，可在创建供应商时，将恶意的Excel公式载荷（如`=10+20+cmd|' /C calc'!A0`）注入到名称字段中。系统随后将此数据直接写入CSV导出文件。当具有更高权限的管理员导出并使用电子表格软件（如Microsoft Excel）打开该CSV文件时，软件会自动解析以特定符号开头的字符串为公式。利用Excel的动态数据交换（DDE）机制，攻击者可构造特定的命令序列，诱导Excel执行系统命令（如启动计算器或下载木马）。由于攻击发生在客户端（管理员的电脑），这可能导致内网渗透或进一步的横向移动。