CVE-2019-12331
Yüksək
Təsvir
PHPOffice PhpSpreadsheet 1.8.0 versiyasından əvvəlki versiyalarda XXE problemi mövcuddur. Əgər başlıqda UTF-8-dən fərqli bir şey bəyan olunubsa, XmlScanner .xlsx faylındakı sheet1.xml sənədini utf-8 formatına dekodlaşdırır. Bu, CVE-2018-19277-nin qarşısını almaq üçün tətbiq edilmiş təhlükəsizlik tədbiri idi, lakin həll kifayət etmir. XML yükünü (payload) ikiqat şəkildə utf-7 formatında kodlaşdırmaqla „<!ENTITY“ sətri üçün yoxlamanı yan keçmək mümkündür və beləliklə, XML xarici entitetinin emalı (XXE) hücumuna yol açılır.
CiddilikYüksək
CVSS8.8
İstismar ehtimalı—
MəhsulPhpoffice Phpspreadsheet
Dərc7 noy 2019
İlk görülmə7 noy 2019
Necə düzəltmək olar
Yeniləyin
- phpoffice phpspreadsheet1.8.0 və ya daha yeni versiya
- phpoffice/phpspreadsheet1.8.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| phpoffice phpspreadsheet | v < 1.8.0 | 1.8.0 |
| phpoffice/phpspreadsheetPackagist | v < 1.8.0 | 1.8.0 |
| phpoffice/phpexcelPackagist | v ≤ 1.8.2 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Intelligence 360 paketində
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.