CVE-2024-56411

Versões do PhpSpreadsheet anteriores à 3.7.0

Versões do PhpSpreadsheet anteriores à 2.3.5

Versões do PhpSpreadsheet anteriores à 2.1.6

Versões do PhpSpreadsheet anteriores à 1.29.7

O problema está relacionado a uma vulnerabilidade de cross-site scripting (XSS) na base do hiperlink no cabeçalho da página HTML. A página HTML é formada sem sanitizar a base do hiperlink, o que pode permitir que um invasor realize ataques de cross-site scripting. Isso pode resultar na execução de código JavaScript arbitrário no navegador. O componente vulnerável é a classe PhpOfficePhpSpreadsheetWriterHtml, especificamente o método generateHTMLHeader. Um invasor pode incorporar uma carga maliciosa em uma propriedade do arquivo que resultará na execução de código JavaScript arbitrário quando um usuário visualizar um arquivo Excel gerado de forma especial.

Para resolver o problema nas versões anteriores à 3.7.0, atualize para a versão 3.7.0 ou posterior.

Para resolver o problema nas versões anteriores à 2.3.5, atualize para a versão 2.3.5 ou posterior.

Para resolver o problema nas versões anteriores à 2.1.6, atualize para a versão 2.1.6 ou posterior.

Para resolver o problema em versões anteriores à 1.29.7, atualize para a versão 1.29.7 ou posterior.

Como solução alternativa temporária, considere adicionar sanitização adicional de caracteres especiais na string usada para formar o cabeçalho da página HTML.