PT-2024-31397 · Phpoffice · Phpspreadsheet

Emilvirkki · Publicado 2024-08-28 · Atualizado 2024-09-04 · CVE-2024-45046

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do PHPSpreadsheet anteriores à 2.1.0

Descrição

O problema diz respeito ao componente PhpOfficePhpSpreadsheetWriterHtml, que não consegue sanitizar informações de estilo da planilha, como nomes de fontes. Isso permite que um invasor injete JavaScript arbitrário na página, levando potencialmente à apropriação total da sessão do usuário ao visualizar arquivos de planilha como HTML.

Recomendações

Para versões anteriores à 2.1.0, atualize para a versão 2.1.0 para resolver o problema.

Como solução temporária, considere desativar o componente PhpOfficePhpSpreadsheetWriterHtml até que um patch esteja disponível.

Restrinja o acesso ao componente vulnerável PhpOfficePhpSpreadsheetWriterHtml para minimizar o risco de exploração.

Evite usar a biblioteca PHPSpreadsheet afetada para visualizar arquivos de planilha como HTML até que o problema seja resolvido.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-45046

GHSA-WGMF-Q9VR-VWW6

Produtos afetados

Phpspreadsheet

Referências · 12

• 🔥 https://github.com/PHPOffice/PhpSpreadsheet/security/advisories/GHSA-wgmf-q9vr-vww6 · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/45xxx/CVE-2024-45046.json · Exploit
• https://github.com/PHPOffice/PhpSpreadsheet · Nota
• https://github.com/PHPOffice/PhpSpreadsheet/commit/f7cf378faed2e11cf4825bf8bafea4922ae44667 · Correção
• https://github.com/PHPOffice/PhpSpreadsheet/pull/3957 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2024-45046 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-wgmf-q9vr-vww6 · Aviso do Fabricante
• https://t.me/cvedetector/4359 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1828898179112182093 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-45046 · Aviso do Fabricante
• https://twitter.com/CVESource/status/1828910584814870623 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1828923857329074472 · Publicação no Twitter