CVE-2026-107217

Nome do Software Vulnerável e Versões Afetadas github.com/xuri/excelize/v2 versões 2.0.0 a 2.11.0 github.com/xuri/excelize versões 1.1.0 a 1.4.1

Description Existe um problema onde a função ColumnNameToNumber() acumula um valor base-26 bijetivo em um int64 sem detectar overflow. Isso permite que um nome de coluna longo especificamente criado, como VGWQHXLSDVIKWV, retorne ao valor zero sem gerar um erro. Quando uma planilha contendo esse nome de coluna com overflow é processada pelas funções checkSheetR0() ou checkRow(), o valor zero resultante torna-se um índice de slice negativo durante a normalização. Isso leva a um panic de tempo de execução (index out of range [-1]), que encerra o processo solicitante. Isso pode ser acionado por qualquer API baseada em workSheetReader, incluindo GetCellValue(), GetCellFormula(), SetCellValue(), GetMergeCells(), GetSheetDimension(), GetColWidth() e AddTable(), ao processar um arquivo .xlsx malicioso.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.