BDU:2025-00507

Уязвимость сценария Currency.php (phpoffice/phpspreadsheet/samples/Wizards/NumberFormat/Currency.php) PHP-библиотеки PhpSpreadsheett, позволяющая нарушителю проводить межсайтовые сценарные атаки

Опубликовано: 2025-01-20

Описание

Уязвимость сценария Currency.php (phpoffice/phpspreadsheet/samples/Wizards/NumberFormat/Currency.php) PHP-библиотеки PhpSpreadsheet связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, проводить межсайтовые сценарные атаки

Затрагиваемое ПО и версии

PhpSpreadsheet (от 3.0.0 до 3.7.0)PhpSpreadsheet (до 1.29.6 включительно)PhpSpreadsheet (от 2.0.0 до 2.1.5 включительно)PhpSpreadsheet (от 2.2.0 до 2.3.4 включительно)

Способ устранения

Использование рекомендаций производителя:
https://github.com/PHPOffice/PhpSpreadsheet/commit/700a80346be269af668914172bc6f4521982d0b4
https://github.com/PHPOffice/PhpSpreadsheet/releases/tag/1.29.7
https://github.com/PHPOffice/PhpSpreadsheet/releases/tag/2.1.6
https://github.com/PHPOffice/PhpSpreadsheet/releases/tag/2.3.5
https://github.com/PHPOffice/PhpSpreadsheet/releases/tag/3.7.0

Оценка CVSS

Балл	8.5 — высокая опасность

Источники и патчи

https://global.ptsecurity.com/analytics/threatscape/PT-2024-66 https://vuldb.com/?id.290171 https://github.com/PHPOffice/PhpSpreadsheet/security/advisories/GHSA-j2xg-cjcx-4677

Проверьте безопасность своего сайта и почты → Полная проверка домена