BDU:2025-00505

Опубликовано: 23 дек. 2024

Источник: fstec

CVSS3: 5.4

CVSS2: 5.5

EPSS Низкий

Описание

Уязвимость функции generateHTMLHeader() PHP-библиотеки PhpSpreadsheet связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, проводить межсайтовые сценарные атаки

Вендор

Сообщество свободного программного обеспечения

Наименование ПО

PhpSpreadsheet

Версия ПО

от 3.0.0 до 3.7.0 (PhpSpreadsheet)

до 1.29.6 включительно (PhpSpreadsheet)

от 2.0.0 до 2.1.5 включительно (PhpSpreadsheet)

от 2.2.0 до 2.3.4 включительно (PhpSpreadsheet)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 5,5)

Средний уровень опасности (базовая оценка CVSS 3.0 составляет 5,4)

Средний уровень опасности (базовая оценка CVSS 4.0 составляет 4,8)

Возможные меры по устранению уязвимости

Использование рекомендаций производителя:

https://github.com/PHPOffice/PhpSpreadsheet/commit/45052f88e04c735d56457a8ffcdc40b2635a028e

https://github.com/PHPOffice/PhpSpreadsheet/releases/tag/1.29.7

https://github.com/PHPOffice/PhpSpreadsheet/releases/tag/2.1.6

https://github.com/PHPOffice/PhpSpreadsheet/releases/tag/2.3.5

https://github.com/PHPOffice/PhpSpreadsheet/releases/tag/3.7.0

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2024-56411
CVE

EPSS

Процентиль: 44%

0.00215

Низкий

5.4 Medium

CVSS3

5.5 Medium

CVSS2

Связанные уязвимости

CVE-2024-56411

CVSS3: 5.4

nvd

около 1 года назад

PhpSpreadsheet is a PHP library for reading and writing spreadsheet files. Versions prior to 3.7.0, 2.3.5, 2.1.6, and 1.29.7 have a cross-site scripting (XSS) vulnerability of the hyperlink base in the HTML page header. The HTML page is formed without sanitizing the hyperlink base. Versions 3.7.0, 2.3.5, 2.1.6, and 1.29.7 contain a patch for the issue.

GHSA-hwcp-2h35-p66w

CVSS3: 5.4

github

около 1 года назад

PhpSpreadsheet has a Cross-Site Scripting (XSS) vulnerability of the hyperlink base in the HTML page header

EPSS

Процентиль: 44%

0.00215

Низкий

5.4 Medium

CVSS3

5.5 Medium

CVSS2