Saltar al contenido
DUPIN
ALERTAS · EN VIVO
Contacto

VULNERABILIDADDetectada 22 OCT · 16:42

CVE-2026-108358 Elusión de XmlScanner en PhpSpreadsheet por secuencias de escape ISO-2022 que permite XXE y denegación de…

PhpSpreadsheet anterior a 1.30.7, 2.1.19, 2.4.8, 3.10.8 y 5.10.0 usa en XmlScanner::scan un patrón de detección de DOCTYPE que contempla intercalado de bytes NUL pero no secuencias de escape ISO-2022 en partes XML de XLSX. Las secuencias impiden que el escáner coincida con la declaración y la normalización de charset elimina los bytes de escape antes del parseo, exponiendo un DOCTYPE y definiciones de entidades válidos. Procesar un XLSX manipulado puede causar denegación de servicio por expansión de entidades y…

8.8ALTA

CVSS 4.0

  • Probabilidad de explotación0,4 %
  • Explotada activamenteNo confirmada
  • Exploit públicoNo conocido

Afectados

  • PHPOffice PhpSpreadsheet

    < 1.30.7>= 2.0.0, < 2.1.19>= 2.2.0, < 2.4.8>= 3.3.0, < 3.10.8>= 4.0.0, < 5.10.0

Qué hacer

  1. Verificá si usás PhpSpreadsheet y en qué versión.
  2. Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
  3. Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 4.0 · 8.8 ALTA

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:H/SC:L/SI:N/SA:N

  • Vector de ataqueRed
  • Complejidad del ataqueBaja
  • Requisitos del ataqueNinguno
  • Privilegios requeridosNinguno
  • Interacción del usuarioNinguna
  • Confidencialidad (sistema vulnerable)Baja
  • Integridad (sistema vulnerable)Ninguna
  • Disponibilidad (sistema vulnerable)Alta
  • Confidencialidad (sistemas posteriores)Baja
  • Integridad (sistemas posteriores)Ninguna
  • Disponibilidad (sistemas posteriores)Ninguna

Descripción original

PhpSpreadsheet is a pure PHP library for reading and writing spreadsheet files. Prior to 1.30.7, 2.1.19, 2.4.8, 3.10.8, and 5.10.0, XmlScanner::scan in src/PhpSpreadsheet/Reader/Security/XmlScanner.php uses a DOCTYPE detection pattern that accounts for NUL-byte interleaving but not ISO-2022 escape sequences in XLSX XML parts. The escape sequences prevent the scanner from matching the declaration, and XML charset normalization then removes the escape bytes before parsing, exposing a valid DOCTYPE and entity definitions. Processing an attacker-controlled XLSX can therefore cause entity-expansion denial of service on supported PHP versions and can permit local file access or SSRF on PHP before 8.0 or when LIBXML_NOENT is enabled. This issue is fixed in versions 1.30.7, 2.1.19, 2.4.8, 3.10.8, and 5.10.0.

Referencias (11)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.