CVE-2024-56412

Versões do PhpSpreadsheet anteriores à 3.7.0

Versões do PhpSpreadsheet anteriores à 2.3.5

Versões do PhpSpreadsheet anteriores à 2.1.6

Versões do PhpSpreadsheet anteriores à 1.29.7

O problema está relacionado à contornagem do sanitizador de cross-site scripting (XSS) por meio do protocolo JavaScript e de caracteres especiais. Um invasor pode usar caracteres especiais para que a biblioteca processe o protocolo JavaScript com esses caracteres e gere um link HTML, permitindo a execução de código JavaScript arbitrário no navegador. O componente vulnerável é a classe PhpOfficePhpSpreadsheetWriterHtml, especificamente o método generateRow. As condições de exploração incluem um usuário visualizando um arquivo Excel gerado de forma especial.

Para versões anteriores à 3.7.0, atualize para a versão 3.7.0 ou posterior.

Para versões anteriores à 2.3.5, atualize para a versão 2.3.5 ou posterior.

Para versões anteriores à 2.1.6, atualize para a versão 2.1.6 ou posterior.

Para versões anteriores à 1.29.7, atualize para a versão 1.29.7 ou posterior.

Como solução alternativa temporária, considere a sanitização adicional de caracteres especiais em strings para evitar a exploração.