CVE-2024-56410

Versões do PhpSpreadsheet anteriores à 3.7.0

Versões do PhpSpreadsheet anteriores à 2.3.5

Versões do PhpSpreadsheet anteriores à 2.1.6

Versões do PhpSpreadsheet anteriores à 1.29.7

O problema está relacionado a uma vulnerabilidade de cross-site scripting (XSS) nas propriedades personalizadas. A página HTML é gerada sem limpar as propriedades personalizadas, o que pode permitir que um invasor execute código JavaScript arbitrário no navegador. O componente vulnerável é a classe PhpOfficePhpSpreadsheetWriterHtml, especificamente o método generateMeta. Um invasor pode incorporar uma carga maliciosa em uma propriedade do arquivo que resultará na execução de código JavaScript arbitrário quando o arquivo do Excel for convertido para uma representação HTML.

Para versões anteriores à 3.7.0, atualize para a versão 3.7.0 ou posterior.

Para versões anteriores à 2.3.5, atualize para a versão 2.3.5 ou posterior.

Para versões anteriores à 2.1.6, atualize para a versão 2.1.6 ou posterior.

Para versões anteriores à 1.29.7, atualize para a versão 1.29.7 ou posterior.

Como solução alternativa temporária, considere a sanitização adicional de caracteres especiais em strings para minimizar o risco de exploração.