CVE-2026-110600

ŚrednieCVSS 5.5

Opublikowano: 14/10/2026(UTC)Zaktualizowano: 15/10/2026(UTC)Przetłumaczono: 14/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.24%

Percentyl 14 - wyżej niż 14% wszystkich znanych CVE

Streszczenie

xlsxio do wersji 0.2.37 zawiera podatność dereferencji wskaźnika NULL w main_sheet_get_sheetfile_expat_callback_element_start() w lib/xlsxio_read.c, która pozwala atakującym na zawieszenie aplikacji poprzez spreparowane pliki. Atakujący mogą dostarczyć plik .xlsx, którego workbook.xml.rels zawiera relację arkusza bez atrybutu Id, powodując zawieszenie procesu przy wywołaniu xlsxioread_sheet_open().

Ocena ryzyka

Atakujący może zdalnie zawiesić aplikację przetwarzającą pliki .xlsx, powodując odmowę usługi (DoS) i potencjalne przerwy w działaniu.

Rekomendacja

Zaktualizuj xlsxio do wersji nowszej niż 0.2.37, jeśli jest dostępna, lub wdróż walidację plików .xlsx pod kątem obecności atrybutu Id w relacjach arkuszy przed przetwarzaniem. Rozważ ograniczenie przetwarzania niezaufanych plików.

Inne podatności w xlsxio

CVE-2023-34795Wysokie
Wersje xlsxio od 0.1.2 do 0.2.34 zawierają błąd związany z nieinicjalizowanym wskaźnikiem w funkcji xlsxioread_sheetlist_close(). Ta podatność umożliwia atakującym wywołanie Denial of Service (DoS) za pomocą spreparowanego pliku XLSX.

Oryginalny opis (angielski, źródło NVD)

xlsxio through 0.2.37 contains a NULL pointer dereference vulnerability in main_sheet_get_sheetfile_expat_callback_element_start() in lib/xlsxio_read.c that allows attackers to crash applications via crafted files. Attackers can supply a .xlsx file whose workbook.xml.rels contains a worksheet Relationship lacking an Id attribute, crashing the process when xlsxioread_sheet_open() is called.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS