CVE-2026-78209
WysokieCVSS 8.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
Biblioteka exceljs do wersji 4.4.0 nie neutralizuje znaków równości, plusa, minusa lub małpy na początku wartości komórek zapisywanych do plików CSV. Atakujący, którzy mogą wpływać na eksportowane wartości komórek, mogą wstrzyknąć formuły, które wykonają się po otwarciu pliku CSV w arkuszu kalkulacyjnym, potencjalnie eksfiltrując dane lub wykonując inne złośliwe działania.
Ocena ryzyka
Ryzyko polega na możliwości wykonania złośliwych formuł w arkuszach kalkulacyjnych, co może prowadzić do wycieku danych lub dalszych ataków na użytkowników otwierających pliki CSV.
Rekomendacja
Zaleca się zaktualizowanie biblioteki exceljs do wersji, która neutralizuje niebezpieczne znaki w eksportowanych wartościach komórek, oraz edukację użytkowników o ryzyku otwierania plików CSV z nieznanych źródeł.
Inne podatności w exceljs
Zobacz wszystkie- CVE-2026-78207Krytyczne
Biblioteka exceljs do wersji 4.4.0 zawiera podatność na zanieczyszczenie prototypu w funkcji deepMerge, która nie odrzuca kluczy __proto__, constructor ani prototype podczas scalania obiektów notatek. Atakujący mogą przypisać złośliwą właściwość __proto__ do notatek komórek, modyfikując Object.prototype i wpływając na wszystkie zwykłe obiekty utworzone w procesie.
- CVE-2026-78208Wysokie
Biblioteka exceljs do wersji 4.4.0 zawiera podatność na przechodzenie po ścieżkach w funkcji Workbook.addImage(), która nie waliduje ścieżek plików. Atakujący mogą podać dowolne ścieżki plików, aby odczytać dowolny plik dostępny dla procesu Node.js i osadzić go w wygenerowanym skoroszycie.
- CVE-2026-78206Wysokie
Biblioteka exceljs do wersji 4.4.0 dekompresuje wszystkie wpisy z dostarczonych archiwów xlsx do pamięci bez ograniczeń dotyczących rozmiaru wpisu, całkowitego rozmiaru ani współczynnika kompresji. Atakujący mogą przesłać mocno skompresowane skoroszyty, które rozszerzają się do gigabajtów w pamięci, wyczerpując dostępne zasoby i powodując odmowę usługi.
Oryginalny opis (angielski, źródło NVD)
exceljs through 4.4.0 fails to neutralize leading equals, plus, minus, or at signs in cell values written to CSV output. Attackers who can influence exported cell values can inject formulas that execute when the CSV file is opened in a spreadsheet application, potentially exfiltrating data or performing other malicious actions.