CVE-2026-108358

Nome do Software Vulnerável e Versões Afetadas PhpSpreadsheet versões anteriores a 1.30.7 PhpSpreadsheet versões anteriores a 2.1.19 PhpSpreadsheet versões anteriores a 2.4.8 PhpSpreadsheet versões anteriores a 3.10.8 PhpSpreadsheet versões anteriores a 5.10.0

Description A função XmlScanner::scan() em src/PhpSpreadsheet/Reader/Security/XmlScanner.php utiliza um padrão de detecção de DOCTYPE que não considera sequências de escape ISO-2022 em partes XML de arquivos XLSX. Essas sequências de escape impedem que o scanner identifique a declaração; posteriormente, a normalização do charset XML remove os bytes de escape antes do processamento, expondo um DOCTYPE e definições de entidade válidos. O processamento de um arquivo XLSX controlado por um invasor pode causar a negação de serviço por expansão de entidade. Além disso, em versões do PHP anteriores a 8.0 ou quando LIBXML NOENT está habilitado, isso pode permitir o acesso a arquivos locais ou Server-Side Request Forgery (SSRF), onde o servidor é enganado para fazer requisições a um local não pretendido.

Recommendations Atualize para a versão 1.30.7 ou posterior. Atualize para a versão 2.1.19 ou posterior. Atualize para a versão 2.4.8 ou posterior. Atualize para a versão 3.10.8 ou posterior. Atualize para a versão 5.10.0 ou posterior.