Tendenci 12.3.1には、連絡先フォームのメッセージフィールドにCSV式インジェクションの脆弱性が存在し、攻撃者がエクスポート時に悪意のある式を注入できる可能性があります。攻撃者はメッセージフィールドに「'=10+20+cmd|' /C calc'!A0」のような細工されたペイロードを送信し、CSVがスプレッドシートアプリケーションで開かれた際に任意のコマンドを実行させることができます。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。