CVE-2026-59931
WysokieCVSS 7.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 42 - wyżej niż 42% wszystkich znanych CVE
Streszczenie
Biblioteka PhpSpreadsheet w wielu wersjach jest podatna na SSRF poprzez obejście białej listy domen funkcji WEBSERVICE(). Funkcja webService() waliduje host URL względem białej listy, ale PHP automatycznie podąża za przekierowaniami HTTP 301/302, a cel przekierowania nie jest ponownie walidowany. Atakujący może przesłać plik XLSX, który po obliczeniu formuły WEBSERVICE() spowoduje dostęp do dowolnych URL-i, w tym wewnętrznych adresów.
Ocena ryzyka
Atakujący może uzyskać dostęp do metadanych chmury (AWS/GCP/Azure), wewnętrznych usług oraz przeprowadzić skanowanie portów wewnętrznych, co może prowadzić do wycieku danych i dalszych ataków.
Rekomendacja
Należy zaktualizować PhpSpreadsheet do jednej z poprawnych wersji: 5.8.1, 3.10.7, 2.4.7, 2.1.18 lub 1.30.6.
Inne podatności w PhpSpreadsheet
Zobacz wszystkie- CVE-2026-40902Wysokie
W bibliotece PhpSpreadsheet przed wersjami 1.30.4, 2.1.16, 2.4.5, 3.10.5 i 5.7.0 występuje podatność w metodzie ColumnAndRowAttributes::readRowAttributes(), która nie weryfikuje numerów wierszy w plikach XLSX względem maksymalnego limitu wierszy. Atakujący może stworzyć plik XLSX, który powoduje nadmierne obciążenie CPU podczas iteracji przez wiersze.
- CVE-2026-40863Wysokie
PhpSpreadsheet to biblioteka PHP do odczytu i zapisu plików arkuszy kalkulacyjnych. W wersjach przed 1.30.4, 2.1.16, 2.4.5, 3.10.5 i 5.7.0, czytnik XML SpreadsheetML nie weryfikuje atrybutu wiersza ss:Index względem maksymalnej dozwolonej liczby wierszy, co może prowadzić do wyczerpania CPU i odmowy usługi.
- CVE-2026-45034Krytyczne
PhpSpreadsheet przed wersją 1.30.5 zawierał lukę, która pozwalała na obejście zabezpieczeń związanych z obsługą wrapperów strumieniowych, co mogło prowadzić do zdalnego wykonania kodu (RCE). Problem wynikał z niewłaściwego sprawdzania schematu URL, co umożliwiało atakującym wykorzystanie wrapperów takich jak phar://.
- CVE-2026-34084Krytyczne
PhpSpreadsheet w wielu wersjach (do 1.30.2, 2.0.0-2.1.14, 2.2.0-2.4.3, 3.3.0-3.10.3, 4.0.0-5.5.0) jest podatny na zdalne wykonanie kodu (RCE) poprzez kontrolowany przez użytkownika argument filename w IOFactory::load(). Atakujący może podać ścieżkę strumienia PHP (np. phar://, ftp://, ssh2.sftp://), która przechodzi kontrolę is_file() w File::assertFile(). Wrapper phar:// wyzwala deserializację metadanych PHAR, co może prowadzić do RCE, jeśli dostępny jest odpowiedni gadżet.
- CVE-2026-59932Wysokie
PhpSpreadsheet w wielu wersjach (4.0.0-5.8.0, 3.3.0-3.10.6, 2.2.0-2.4.6, 2.0.0-2.1.17 oraz wszystkie do 1.30.5) zawiera podatność w czytniku Gnumeric. Czytnik odczytuje dostarczone przez atakującego pliki .gnumeric do pamięci, a gdy plik zaczyna się od bajtów magicznych gzip, wywołuje gzdecode() na pełnej skompresowanej zawartości bez ograniczenia rozmiaru dekompresowanego pliku. Bardzo mały skompresowany plik .gnumeric może rozszerzyć się do danych większych niż limit pamięci PHP i spowodować awarię procesu podczas Gnumeric::canRead(), zanim plik zostanie odrzucony lub w pełni sparsowany. Podatność jest osiągalna przez normalne wykrywanie typu pliku i ścieżki ładowania Gnumeric, więc aplikacje akceptujące przesłane przez atakującego arkusze kalkulacyjne mogą ucierpieć z powodu odmowy usługi.
- CVE-2026-59933Wysokie
Biblioteka PhpSpreadsheet w wielu wersjach jest podatna na atak DoS poprzez odczyt plików OLE. Czytnik OLE podąża za łańcuchami sektorów z kontrolowanych przez atakującego metadanych XLS/OLE bez wykrywania cykli. Niewielki, złośliwy plik .xls może spowodować, że czytnik będzie wielokrotnie dołączał te same dane sektora, aż do wyczerpania pamięci PHP.
- CVE-2026-35453Średnie
W PhpSpreadsheet w wersjach 1.30.3 i wcześniejszych, 2.0.0-2.1.15, 2.2.0-2.4.4, 3.3.0-3.10.4 i 4.0.0-5.6.0, HTML Writer pomija escape'owanie htmlspecialchars(), gdy komórka używa niestandardowego formatu liczby zawierającego @ z literałami. Atakujący kontrolujący zawartość komórki może wstrzyknąć HTML i JavaScript.
Oryginalny opis (angielski, źródło NVD)
PhpSpreadsheet is a pure PHP library for reading and writing spreadsheet files. In versions 4.0.0 through 5.8.0, 3.3.0 through 3.10.6, 2.2.0 through 2.4.6, 2.0.0 through 2.1.17, and all releases up to and including 1.30.5, the WEBSERVICE() domain whitelist can be bypassed via an HTTP redirect (SSRF). In Calculation/Web/Service.php, the webService() method validates a URL's host against the whitelist set via Spreadsheet::setDomainWhiteList(), then fetches content with file_get_contents($url, false, $ctx); because PHP's HTTP stream wrapper follows 301/302 redirects automatically (up to 20 hops) and the redirect target is never re-validated, an attacker who can trigger a redirect from a whitelisted domain can reach arbitrary URLs, including internal addresses. An attacker able to upload XLSX files to an application that uses setDomainWhiteList() and getCalculatedValue() can achieve a full-read SSRF, returning up to 32,767 bytes of the response body as a cell's calculated value, which enables exfiltration of cloud metadata (AWS/GCP/Azure credentials via http://169.254.169.254/), access to internal-only services, and internal port scanning (the port is not validated). This issue has been fixed in versions 5.8.1, 3.10.7, 2.4.7, 2.1.18, and 1.30.6.