PT-2025-4849
CVE-2025-23210
·
تاريخ النشر
2025-01-15
·
تاريخ التحديث
2025-02-03
الوصف من
CVSS 2.0
5.5
متوسطةالمقاييسAV:N/AC:L/Au:S/C:P/I:P/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات phpoffice/phpspreadsheet الأقدم من 1.29.9
إصدارات phpoffice/phpspreadsheet الأقدم من 2.1.8
إصدارات phpoffice/phpspreadsheet الأقدم من 2.3.7
إصدارات phpoffice/phpspreadsheet الأقدم من 3.9.0
الوصف
تتعلق المشكلة بتجاوز أداة تنقية Cross-site Scripting (XSS) في phpoffice/phpspreadsheet، وهي مكتبة PHP خالصة لقراءة وكتابة ملفات جداول البيانات. يتم تحقيق هذا الالتفاف باستخدام بروتوكول JavaScript وأحرف خاصة. يمكن للمهاجم استخدام أحرف خاصة لإنشاء رابط HTML يؤدي، عند النقر عليه، إلى تنفيذ كود JavaScript تعسفي في المتصفح. المكون المعرض للخطر هو الفئة
PhpOfficePhpSpreadsheetWriterHtml، وتحديدًا الأسلوب generateRow. تتضمن شروط الاستغلال قيام مستخدم بعرض ملف XML تم إنشاؤه خصيصًا لهذا الغرض.التوصيات
بالنسبة للإصدارات الأقدم من 1.29.9، قم بالتحديث إلى الإصدار 1.29.9 أو أحدث.
بالنسبة للإصدارات الأقدم من 2.1.8، قم بالتحديث إلى الإصدار 2.1.8 أو أحدث.
بالنسبة للإصدارات الأقدم من 2.3.7، قم بالتحديث إلى الإصدار 2.3.7 أو أحدث.
بالنسبة للإصدارات الأقدم من 3.9.0، قم بالتحديث إلى الإصدار 3.9.0 أو أحدث.
كحل مؤقت، ضع في اعتبارك إجراء تنقية إضافية للأحرف الخاصة في السلاسل لتقليل مخاطر الاستغلال.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾