CVE-2024-45046
Açıklama
PHPSpreadsheet, hesap tablosu dosyalarını okumak ve yazmak için kullanılan saf bir PHP kütüphanesidir. Etkilenen sürümlerde `\PhpOffice\PhpSpreadsheet\Writer\Html`, yazı tipi adları gibi hesap tablosu stil bilgilerini temizlemez ve bu durum bir saldırganın sayfaya rastgele JavaScript enjekte etmesine olanak tanır. Sonuç olarak bir saldırgan, hesap tablosu dosyalarını HTML olarak görüntüleyen bir kullanıcının oturumunu tamamen ele geçirmek için özel olarak hazırlanmış bir hesap tablosu kullanabilir. Bu sorun 2.1.0 sürümünde giderilmiştir. Tüm kullanıcıların yükseltme yapmaları önerilir. Bu güvenlik açığı için bilinen bir geçici çözüm yoktur.
Nasıl düzeltilir
- phpoffice phpspreadsheet1.29.1, 2.1.0 ya da sonraki bir sürüm
- phpoffice/phpspreadsheet2.1.0, 1.29.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| phpoffice phpspreadsheet | v < 1.29.1, 2.0.0 ≤ v < 2.1.0 | 1.29.1, 2.1.0 |
| phpoffice/phpspreadsheetPackagist | 2.0.0 ≤ v < 2.1.0, v < 1.29.1 | 2.1.0, 1.29.1 |
| phpoffice/phpexcelPackagist | v ≤ 1.8.2 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.