CVE-2024-45060

Versões do PHPSpreadsheet anteriores à 1.29.2

Versões do PHPSpreadsheet anteriores à 2.1.1

Versões do PHPSpreadsheet anteriores à 2.3.0

O problema está relacionado a uma vulnerabilidade de cross-site scripting (XSS) em um dos scripts de exemplo do PHPSpreadsheet, especificamente devido ao tratamento inadequado de entradas onde se espera um número, levando à injeção de fórmulas. O código em 45 Quadratic equation solver.php concatena parâmetros fornecidos pelo usuário diretamente nas fórmulas da planilha, permitindo que um invasor assuma o controle da fórmula e exiba dados não sanitizados na página, resultando na execução de JavaScript. Espera-se que o impacto dessa vulnerabilidade seja relativamente baixo, uma vez que se trata de arquivos de exemplo que não devem ser incluídos quando a biblioteca é usada corretamente. No entanto, alguns plugins populares do WordPress expuseram esse arquivo sem intenção, e resolver essa questão pode aumentar a segurança dos usuários.

Para versões do PHPSpreadsheet anteriores à 1.29.2, atualize para a versão 1.29.2 ou posterior.

Para versões do PHPSpreadsheet anteriores à 2.1.1, atualize para a versão 2.1.1 ou posterior.

Para versões do PHPSpreadsheet anteriores à 2.3.0, atualize para a versão 2.3.0 ou posterior.

Como solução temporária, considere forçar os parâmetros a serem valores numéricos usando a função floatval() para $ POST[‘A’], $ POST[‘B’] e $ POST[‘C’].