BDU:2025-00503

Уязвимость сценария Accounting.php (/phpoffice/phpspreadsheet/samples/Wizards/NumberFormat/Accounting.php) PHP-библиотеки PhpSpreadsheet, позволяющая нарушителю проводить межсайтовые сценарные атаки

Опубликовано: 2025-01-20

Описание

Уязвимость сценария Accounting.php (/phpoffice/phpspreadsheet/samples/Wizards/NumberFormat/Accounting.php) PHP-библиотеки PhpSpreadsheet связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, проводить межсайтовые сценарные атаки

Затрагиваемое ПО и версии

PhpSpreadsheet (от 3.0.0 до 3.7.0)PhpSpreadsheet (до 1.29.6 включительно)PhpSpreadsheet (от 2.0.0 до 2.1.5 включительно)PhpSpreadsheet (от 2.2.0 до 2.3.4 включительно)

Способ устранения

Использование рекомендаций производителя:
https://github.com/PHPOffice/PhpSpreadsheet/commit/700a80346be269af668914172bc6f4521982d0b4
https://github.com/PHPOffice/PhpSpreadsheet/releases/tag/1.29.7
https://github.com/PHPOffice/PhpSpreadsheet/releases/tag/2.1.6
https://github.com/PHPOffice/PhpSpreadsheet/releases/tag/2.3.5
https://github.com/PHPOffice/PhpSpreadsheet/releases/tag/3.7.0

Оценка CVSS

Балл	8.5 — высокая опасность

Источники и патчи

https://vuldb.com/?id.290170 https://github.com/PHPOffice/PhpSpreadsheet/security/advisories/GHSA-c6fv-7vh8-2rhr

Проверьте безопасность своего сайта и почты → Полная проверка домена