CVE-2026-59162
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 41 - wyżej niż 41% wszystkich znanych CVE
Streszczenie
Biblioteka Excelize dla języka Go przed wersją 2.11.0 zawiera podatność polegającą na braku walidacji dolnej granicy indeksu podczas parsowania wartości komórek typu shared-string. Specjalnie spreparowany plik XLSX z wartością -1 może spowodować odwołanie poza zakres tablicy i panic podczas odczytu przez GetCellValue lub GetRows.
Ocena ryzyka
Atakujący może dostarczyć złośliwy plik XLSX, który po otwarciu przez aplikację korzystającą z podatnej wersji biblioteki spowoduje jej awarię (panic), prowadząc do przerwania działania usługi (Denial of Service).
Rekomendacja
Należy niezwłocznie zaktualizować bibliotekę Excelize do wersji 2.11.0 lub nowszej, która zawiera poprawkę usuwającą tę podatność.
Inne podatności w Excelize
Zobacz wszystkie- CVE-2026-59161Wysokie
Biblioteka Excelize dla języka Go przed wersją 2.11.0 nie egzekwuje limitu TotalRows dla atrybutu r w wierszach podczas strumieniowego odczytu arkusza. Atakujący może dostarczyć mały plik XLSX z numerem wiersza powyżej 1048576, co powoduje dodawanie pustych wierszy i nadmierne zużycie pamięci oraz CPU.
- CVE-2026-54063Wysokie
Biblioteka Excelize dla języka Go przed wersją 2.11.0 zawiera podatność polegającą na braku walidacji atrybutu XML <row r="N"> w funkcji checkSheet(). Atakujący może dostarczyć specjalnie spreparowany plik XLSX, który powoduje alokację ogromnej ilości pamięci (do 16 GB) lub wywołuje panic z powodu indeksowania poza zakresem, prowadząc do odmowy usługi (DoS).
Oryginalny opis (angielski, źródło NVD)
Excelize is a Go language library for reading and writing Microsoft Excel spreadsheets. Prior to 2.11.0, Excelize parses shared-string cell values with strconv.Atoi and checks only the upper bound before indexing the shared string slice, allowing an XLSX file containing a shared-string cell with -1 to trigger sharedStrings[-1] and panic when read through GetCellValue or GetRows. This issue is fixed in version 2.11.0.