BDU:2025-00508

Опубликовано: 23 дек. 2024

Источник: fstec

CVSS3: 5.4

CVSS2: 5.5

EPSS Низкий

Описание

Уязвимость функции generateRow() PHP-библиотеки PhpSpreadsheet связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, проводить межсайтовые сценарные атаки

Вендор

Сообщество свободного программного обеспечения

Наименование ПО

PhpSpreadsheet

Версия ПО

от 3.0.0 до 3.7.0 (PhpSpreadsheet)

до 1.29.6 включительно (PhpSpreadsheet)

от 2.0.0 до 2.1.5 включительно (PhpSpreadsheet)

от 2.2.0 до 2.3.4 включительно (PhpSpreadsheet)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 5,5)

Средний уровень опасности (базовая оценка CVSS 3.0 составляет 5,4)

Средний уровень опасности (базовая оценка CVSS 4.0 составляет 4,8)

Возможные меры по устранению уязвимости

Использование рекомендаций производителя:

https://github.com/PHPOffice/PhpSpreadsheet/commit/45052f88e04c735d56457a8ffcdc40b2635a028e

https://github.com/PHPOffice/PhpSpreadsheet/releases/tag/1.29.7

https://github.com/PHPOffice/PhpSpreadsheet/releases/tag/2.1.6

https://github.com/PHPOffice/PhpSpreadsheet/releases/tag/2.3.5

https://github.com/PHPOffice/PhpSpreadsheet/releases/tag/3.7.0

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2024-56412
CVE

EPSS

Процентиль: 44%

0.00215

Низкий

5.4 Medium

CVSS3

5.5 Medium

CVSS2

Связанные уязвимости

CVE-2024-56412

CVSS3: 5.4

nvd

около 1 года назад

PhpSpreadsheet is a PHP library for reading and writing spreadsheet files. Versions prior to 3.7.0, 2.3.5, 2.1.6, and 1.29.7 are vulnerable to bypass of the cross-site scripting sanitizer using the javascript protocol and special characters. An attacker can use special characters, so that the library processes the javascript protocol with special characters and generates an HTML link. Versions 3.7.0, 2.3.5, 2.1.6, and 1.29.7 contain a patch for the issue.

GHSA-q9jv-mm3r-j47r

CVSS3: 5.4

github

около 1 года назад

PhpSpreadsheet allows bypass XSS sanitizer using the javascript protocol and special characters

EPSS

Процентиль: 44%

0.00215

Низкий

5.4 Medium

CVSS3

5.5 Medium

CVSS2