CVE-2026-128348

Nome do Software Vulnerável e Versões Afetadas ExcelJS versões anteriores a 4.4.1

Description Um problema de injeção de fórmula existe no getter de fórmula da linha de totais no arquivo lib/doc/table.js. O software falha ao escapar adequadamente os caracteres [, ], # e ' em nomes de colunas de referência estruturada. Um invasor pode fornecer nomes de colunas contendo o caractere ] por meio de entradas não confiáveis, como cabeçalhos de CSV importados, para injetar fórmulas como HYPERLINK. Isso pode levar à exfiltração de valores de células quando um usuário abre a pasta de trabalho gerada e clica no link.

Recommendations Atualize o ExcelJS para a versão 4.4.1 ou posterior.