CVE-2026-59931

Nome do Software Vulnerável e Versões Afetadas PhpSpreadsheet versões 4.0.0 a 5.8.0 PhpSpreadsheet versões 3.3.0 a 3.10.6 PhpSpreadsheet versões 2.2.0 a 2.4.6 PhpSpreadsheet versões 2.0.0 a 2.1.17 PhpSpreadsheet versões anteriores a 1.30.6

Description A validação insuficiente de requisições no lado do servidor na função webService() dentro do script Calculation/Web/Service.php permite a ocorrência de Server-Side Request Forgery (SSRF). O problema ocorre porque a lista branca de domínios definida via setDomainWhiteList() é ignorada quando o wrapper de stream HTTP do PHP segue automaticamente redirecionamentos 301/302 sem revalidar o destino do redirecionamento. Um invasor que consiga fazer o upload de arquivos XLSX para uma aplicação que utilize setDomainWhiteList() e getCalculatedValue() pode desencadear redirecionamentos de um domínio permitido para alcançar URLs internas arbitrárias. Isso pode resultar na exfiltração de metadados de nuvem (como credenciais AWS, GCP ou Azure via http://169.254.169.254/), acesso a serviços internos e varredura de portas internas, retornando até 32.767 bytes do corpo da resposta como o valor calculado de uma célula.

Recommendations Atualizar PhpSpreadsheet versões 4.0.0 a 5.8.0 para a versão 5.8.1 Atualizar PhpSpreadsheet versões 3.3.0 a 3.10.6 para a versão 3.10.7 Atualizar PhpSpreadsheet versões 2.2.0 a 2.4.6 para a versão 2.4.7 Atualizar PhpSpreadsheet versões 2.0.0 a 2.1.17 para a versão 2.1.18 Atualizar PhpSpreadsheet versões anteriores a 1.30.6 para a versão 1.30.6