p PatchFirst

CVE-2024-45046

CVE-2024-45046 · PhpSpreadsheet HTML writer is vulnerable to Cross-Site Scripting via style information

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

PHPSpreadsheet is a pure PHP library for reading and writing spreadsheet files. In affected versions `\PhpOffice\PhpSpreadsheet\Writer\Html` doesn't sanitize spreadsheet styling information such as font names, allowing an attacker to inject arbitrary JavaScript on the page. As a result an attacker may used a crafted spreadsheet to fully takeover a session of a user viewing spreadsheet files as HTML. This issue has been addressed in release version 2.1.0. All users are advised to upgrade. There are no known workarounds for this vulnerability.

CVSS 5.4 · Средний · EPSS 0,4% · Есть исправление

Опубликовано
Обновлено

Стек: php

Затронутые продукты и версии

  • phpspreadsheet

    Версии
    • < 2.1.0: Затронуто

    Нет опубликованного исправления

  • phpoffice/phpspreadsheet Packagist

    Версии
    • 2.0.0
    Затронутые диапазоны версий
    • ECOSYSTEM: ≥ 2.0.0, < 2.1.0

    Обновитесь до 2.1.0

  • phpoffice/phpspreadsheet Packagist

    Версии
    • 1.0.0
    • 1.0.0-beta
    • 1.0.0-beta2
    • 1.1.0
    • 1.10.0
    • 1.10.1
    • 1.11.0
    • 1.12.0
    • 1.13.0
    • 1.14.0
    • 1.14.1
    • 1.15.0
    • 1.16.0
    • 1.17.0
    • 1.17.1
    • 1.18.0
    • 1.19.0
    • 1.2.0
    • 1.2.1
    • 1.20.0
    • 1.21.0
    • 1.22.0
    • 1.23.0
    • 1.24.0
    • 1.24.1
    • 1.25.0
    • 1.25.1
    • 1.25.2
    • 1.26.0
    • 1.27.0
    • 1.27.1
    • 1.28.0
    • 1.29.0
    • 1.3.0
    • 1.3.1
    • 1.4.0
    • 1.4.1
    • 1.5.0
    • 1.5.1
    • 1.5.2
    • 1.6.0
    • 1.7.0
    • 1.8.0
    • 1.8.1
    • 1.8.2
    • 1.9.0
    Затронутые диапазоны версий
    • ECOSYSTEM: < 1.29.1

    Обновитесь до 1.29.1

  • phpoffice/phpexcel Packagist

    Версии
    • 1.7.9
    • 1.7.9-rc1
    • 1.8.0
    • 1.8.0rc1
    • 1.8.0rc2
    • 1.8.0rc3
    • 1.8.0rc4
    • 1.8.1
    • 1.8.2
    Затронутые диапазоны версий
    • ECOSYSTEM: ≤ 1.8.2

    Нет опубликованного исправления

Первоисточники

Проверьте свой сервер →