PT-2026-146562
CVE-2026-128348
·
تاريخ النشر
2026-11-13
·
تاريخ التحديث
2026-11-13
الوصف من
CVSS 3.1
4.2
متوسطةالمقاييسAV:N/AC:H/PR:N/UI:R/S:U/C:L/I:L/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
ExcelJS الإصدارات السابقة لـ 4.4.1
Description
توجد ثغرة حقن صيغ في جالب صيغة صف الإجمالي (totals row formula getter) ضمن الملف
lib/doc/table.js. يفشل البرنامج في تعقيم الحروف [ و ] و # و ' في أسماء أعمدة المراجع الهيكلية. يمكن للمهاجم تقديم أسماء أعمدة تحتوي على الحرف ] عبر مدخلات غير موثوقة، مثل رؤوس ملفات CSV المستوردة، لحقن صيغ مثل HYPERLINK. قد يؤدي ذلك إلى تسريب قيم الخلايا عندما يقوم المستخدم بفتح ملف العمل المولد والنقر على الرابط.Recommendations
تحديث ExcelJS إلى الإصدار 4.4.1 أو إصدار أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾