CVE-2026-78207
KrytyczneCVSS 9.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 37 - wyżej niż 37% wszystkich znanych CVE
Streszczenie
Biblioteka exceljs do wersji 4.4.0 zawiera podatność na zanieczyszczenie prototypu w funkcji deepMerge, która nie odrzuca kluczy __proto__, constructor ani prototype podczas scalania obiektów notatek. Atakujący mogą przypisać złośliwą właściwość __proto__ do notatek komórek, modyfikując Object.prototype i wpływając na wszystkie zwykłe obiekty utworzone w procesie.
Ocena ryzyka
Zanieczyszczenie prototypu może prowadzić do nieautoryzowanego dostępu, eskalacji uprawnień lub wykonania kodu w aplikacji używającej exceljs. Może to naruszyć integralność danych i bezpieczeństwo całego systemu.
Rekomendacja
Zaktualizuj bibliotekę exceljs do najnowszej wersji, która zawiera poprawkę. Jeśli nie jest dostępna, unikaj przetwarzania niezaufanych danych wejściowych z notatkami komórek lub ręcznie filtruj niebezpieczne klucze.
Inne podatności w exceljs
Zobacz wszystkie- CVE-2026-78209Wysokie
Biblioteka exceljs do wersji 4.4.0 nie neutralizuje znaków równości, plusa, minusa lub małpy na początku wartości komórek zapisywanych do plików CSV. Atakujący, którzy mogą wpływać na eksportowane wartości komórek, mogą wstrzyknąć formuły, które wykonają się po otwarciu pliku CSV w arkuszu kalkulacyjnym, potencjalnie eksfiltrując dane lub wykonując inne złośliwe działania.
- CVE-2026-78208Wysokie
Biblioteka exceljs do wersji 4.4.0 zawiera podatność na przechodzenie po ścieżkach w funkcji Workbook.addImage(), która nie waliduje ścieżek plików. Atakujący mogą podać dowolne ścieżki plików, aby odczytać dowolny plik dostępny dla procesu Node.js i osadzić go w wygenerowanym skoroszycie.
- CVE-2026-78206Wysokie
Biblioteka exceljs do wersji 4.4.0 dekompresuje wszystkie wpisy z dostarczonych archiwów xlsx do pamięci bez ograniczeń dotyczących rozmiaru wpisu, całkowitego rozmiaru ani współczynnika kompresji. Atakujący mogą przesłać mocno skompresowane skoroszyty, które rozszerzają się do gigabajtów w pamięci, wyczerpując dostępne zasoby i powodując odmowę usługi.
Oryginalny opis (angielski, źródło NVD)
exceljs through 4.4.0 contains a prototype pollution vulnerability in the deepMerge helper that fails to reject __proto__, constructor, or prototype keys when merging note objects. Attackers can assign parsed JSON with a malicious __proto__ property to cell notes, modifying Object.prototype and affecting all plain objects created in the process.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS