Podatności exceljs

Biblioteka exceljs do wersji 4.4.0 zawiera podatność na zanieczyszczenie prototypu w funkcji deepMerge, która nie odrzuca kluczy __proto__, constructor ani prototype podczas scalania obiektów notatek. Atakujący mogą przypisać złośliwą właściwość __proto__ do notatek komórek, modyfikując Object.prototype i wpływając na wszystkie zwykłe obiekty utworzone w procesie.

Biblioteka exceljs do wersji 4.4.0 nie neutralizuje znaków równości, plusa, minusa lub małpy na początku wartości komórek zapisywanych do plików CSV. Atakujący, którzy mogą wpływać na eksportowane wartości komórek, mogą wstrzyknąć formuły, które wykonają się po otwarciu pliku CSV w arkuszu kalkulacyjnym, potencjalnie eksfiltrując dane lub wykonując inne złośliwe działania.

Biblioteka exceljs do wersji 4.4.0 zawiera podatność na przechodzenie po ścieżkach w funkcji Workbook.addImage(), która nie waliduje ścieżek plików. Atakujący mogą podać dowolne ścieżki plików, aby odczytać dowolny plik dostępny dla procesu Node.js i osadzić go w wygenerowanym skoroszycie.

Biblioteka exceljs do wersji 4.4.0 dekompresuje wszystkie wpisy z dostarczonych archiwów xlsx do pamięci bez ograniczeń dotyczących rozmiaru wpisu, całkowitego rozmiaru ani współczynnika kompresji. Atakujący mogą przesłać mocno skompresowane skoroszyty, które rozszerzają się do gigabajtów w pamięci, wyczerpując dostępne zasoby i powodując odmowę usługi.