Analystix

**Nome do software vulnerável e versões afetadas** Versões do PHPSpreadsheet anteriores à 1.29.1 Versões do PHPSpreadsheet anteriores à 2.1.1 Versões do PHPSpreadsheet anteriores à 2.3.0 **Descrição** O verificador de segurança no leitor XLSX do PHPSpreadsheet pode ser contornado modificando-se a estrutura XML com o uso de espaços em branco, permitindo a divulgação de informações confidenciais por meio de ataques XXE em servidores que permitem aos usuários fazer upload de suas próprias planilhas do Excel. A função `toUtf8` em `src/PhpSpreadsheet/Reader/Security/XmlScanner.php` contém uma verificação de codificação XML com falha, que usa a codificação UTF-8 por padrão se a codificação não for encontrada, o que pode ser explorado passando uma carga útil XXE codificada em UTF-7. Essa vulnerabilidade pode ser usada para divulgar arquivos do servidor e informações confidenciais por meio de uma planilha do Excel especialmente criada. **Recomendações** Para versões do PHPSpreadsheet anteriores à 1.29.1, atualize para a versão 1.29.1 ou posterior. Para versões do PHPSpreadsheet anteriores à 2.1.1, atualize para a versão 2.1.1 ou posterior. Para versões do PHPSpreadsheet anteriores à 2.3.0, atualize para a versão 2.3.0 ou posterior. Como solução temporária, considere restringir o upload de planilhas do Excel ou desativar o uso do analisador de Excel do PHPSpreadsheet até que um patch seja aplicado.