CVE-2026-108360
Təsvir
PhpSpreadsheet cədvəl fayllarını oxumaq və yazmaq üçün təmiz PHP kitabxanasıdır. 1.30.7, 2.1.19, 2.4.8, 3.10.8 və 5.10.0 versiyalarından əvvəl, setAllowExternalImages aktiv olduqda Worksheet\Drawing::setPath yalnız ilkin xarici şəkil URL-ni setIsWhitelisted ilə yoxlayır. HTTP axın konteksti PHP-yə yönləndirilmiş URL-ə callback tətbiq etmədən yönləndirməni izləməyə icazə verir, buna görə də icazə verilmiş şəkil hostu serveri daxili ünvana yönləndirə və kor (blind) GET sorğusuna səbəb ola bilər. Cavab gövdəsi hücumçuya qaytarılmır, çünki oxuyucu yüklənmiş məzmunu şəkil kimi yoxlayır və müvəqqəti faylı silir, lakin daxili GET-ə əsaslanan son nöqtələrə, şəbəkə əlçatanlığına və bulud metadata son nöqtələrinə çatmaq mümkündür. Bu problem 1.30.7, 2.1.19, 2.4.8, 3.10.8 və 5.10.0 versiyalarında düzəldilmişdir.
Necə düzəltmək olar
- phpoffice/phpspreadsheet5.10.0, 3.10.8, 2.4.8, 2.1.19, 1.30.7 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| phpoffice/phpspreadsheetPackagist | 4.0.0 ≤ v < 5.10.0, 3.3.0 ≤ v < 3.10.8, 2.2.0 ≤ v < 2.4.8, 2.0.0 ≤ v < 2.1.19, v < 1.30.7 | 5.10.0, 3.10.8, 2.4.8, 2.1.19, 1.30.7 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.