CVE-2026-108360

Nome do Software Vulnerável e Versões Afetadas PhpSpreadsheet versões anteriores a 1.30.7 PhpSpreadsheet versões anteriores a 2.1.19 PhpSpreadsheet versões anteriores a 2.4.8 PhpSpreadsheet versões anteriores a 3.10.8 PhpSpreadsheet versões anteriores a 5.10.0

Description Quando setAllowExternalImages está habilitado, a função setPath() em WorksheetDrawing valida apenas a URL inicial da imagem externa usando setIsWhitelisted. Como o contexto do stream HTTP permite que o PHP siga redirecionamentos sem aplicar a função de validação à nova URL, um host de imagem permitido pode redirecionar o servidor para um endereço interno. Isso resulta em uma requisição GET cega, permitindo potencialmente o acesso a endpoints internos baseados em GET, testes de conectividade de rede e endpoints de metadados de nuvem. O corpo da resposta não é retornado ao atacante, pois o sistema valida o conteúdo como uma imagem e remove o arquivo temporário.

Recommendations Atualizar para a versão 1.30.7 ou posterior. Atualizar para a versão 2.1.19 ou posterior. Atualizar para a versão 2.4.8 ou posterior. Atualizar para a versão 3.10.8 ou posterior. Atualizar para a versão 5.10.0 ou posterior.