BDU:2025-00504 (CVE-2024-56365)

Уязвимость сценария download.php (/phpoffice/phpspreadsheet/samples/download.php) PHP-библиотеки PhpSpreadsheet, позволяющая нарушителю проводить межсайтовые сценарные атаки

Опубликовано: 2025-01-20

Описание

Уязвимость сценария download.php (/phpoffice/phpspreadsheet/samples/download.php) PHP-библиотеки PhpSpreadsheet связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, проводить межсайтовые сценарные атаки

Затрагиваемое ПО и версии

PhpSpreadsheet (от 3.0.0 до 3.7.0)PhpSpreadsheet (до 1.29.6 включительно)PhpSpreadsheet (от 2.0.0 до 2.1.5 включительно)PhpSpreadsheet (от 2.2.0 до 2.3.4 включительно)

Способ устранения

Использование рекомендаций производителя:
https://github.com/PHPOffice/PhpSpreadsheet/commit/700a80346be269af668914172bc6f4521982d0b4#diff-fbb0f53a5c68eeeffaa9ab35552c0b01740396f1a4045af5d2935ec2a62a7816
https://github.com/PHPOffice/PhpSpreadsheet/releases/tag/1.29.7
https://github.com/PHPOffice/PhpSpreadsheet/releases/tag/2.1.6
https://github.com/PHPOffice/PhpSpreadsheet/releases/tag/2.3.5
https://github.com/PHPOffice/PhpSpreadsheet/releases/tag/3.7.0

Оценка CVSS

Балл	8.5 — высокая опасность

Источники и патчи

https://nvd.nist.gov/vuln/detail/CVE-2024-56365 https://vuldb.com/?id.290168 https://github.com/PHPOffice/PhpSpreadsheet/security/advisories/GHSA-jmpx-686v-c3wx

Проверьте безопасность своего сайта и почты → Полная проверка домена