CVE-2026-45034

إصدارات PhpSpreadsheet الأقدم من 1.30.5

توجد مشكلة في الدالة File::prohibitWrappers() حيث يمكن تجاوز استخدام الدالة parse url() للكشف عن غلافات التدفق. عندما يحتوي الإدخال على ثلاث شرطات مائلة أو أكثر بعد مخطط العنوان (على سبيل المثال، phar:///path/file.phar/inner)، تُرجع الدالة parse url() قيمة منطقية false بدلاً من سلسلة مخطط العنوان، مما يسمح بتخطي الفحص. وهذا يمكّن الدالة IOFactory::load() من معالجة أغلفة phar.

في PHP 7.x، قد يؤدي هذا إلى تنفيذ التعليمات البرمجية عن بُعد (RCE) لأن النظام يقوم تلقائيًا بإلغاء تسلسل بيانات تعريف phar عبر is file، مما يؤدي إلى تشغيل الطرق السحرية wakeup() و destruct() للكائنات التي يتحكم فيها المهاجم. في PHP 8.x، يقتصر التأثير على عملية قراءة ملف غلاف phar، حيث تمت إزالة عملية إلغاء تسلسل بيانات التعريف التلقائية؛ ولن يحدث تنفيذ التعليمات البرمجية عن بُعد (RCE) إلا إذا استدعى المستخدم النهائي الدالة Phar::getMetadata().

قم بالتحديث إلى الإصدار 1.30.5 أو أحدث.

كحل مؤقت، قم بتقييد استخدام الدالة IOFactory::load() مع المدخلات غير الموثوق بها لمنع معالجة ملفات تغليف phar الخبيثة.