Unknown · Phpspreadsheet · CVE-2024-47873
**Nome do software vulnerável e versões afetadas**
Versões do PhpSpreadsheet anteriores às 1.9.4, 2.1.3, 2.3.2 e 3.4.0
**Descrição**
A classe XmlScanner no PhpSpreadsheet possui um método scan destinado a impedir ataques XXE. No entanto, as expressões regulares usadas nos métodos scan e findCharSet podem ser contornadas usando UCS-4 e adivinhação de codificação, permitindo que um invasor contorne o sanitizador e realize um ataque de entidade externa XML. Essa vulnerabilidade pode ser explorada criando-se uma carga maliciosa para o arquivo workbook.xml, o que pode levar ao envio de uma solicitação HTTP para uma URL especificada.
**Recomendações**
Para versões anteriores à 1.9.4, atualize para a versão 1.9.4 ou posterior.
Para versões anteriores à 2.1.3, atualize para a versão 2.1.3 ou posterior.
Para versões anteriores à 2.3.2, atualize para a versão 2.3.2 ou posterior.
Para versões anteriores à 3.4.0, atualize para a versão 3.4.0 ou posterior.