CVE-2026-107215
Açıklama
Excelize, Microsoft Excel hesap tablolarını okumak ve yazmak için kullanılan bir Go dili kütüphanesidir. 2.3.1 ile 2.11.0 sürümleri arasında extractPart, sektör zincirini veya boyut alanını doğrulamadan önce saldırgan tarafından kontrol edilen bir CFB dizin girişi boyutundan doğrudan bir bayt dilimi tahsis eder. extractPart, akışı doğrulamadan önce EncryptionInfo ve EncryptedPackage tahsisleri için CFB dizin girişi streamSize değerine güvenir. Özel olarak hazırlanmış bir OLE bileşik dosyası negatif veya aşırı büyük bir EncryptionInfo veya EncryptedPackage akış boyutu beyan ettiğinde, beyan edilen boyut make fonksiyonuna negatif bir uzunlukla ulaşır veya çok gigabaytlık bir tahsisi zorlar; bu durum bir saldırganın panik oluşturmasına veya işlem belleğini tüketmesine olanak tanır. Bu inceleme itibarıyla düzeltilmiş bir sürüm mevcut değildir.
Nasıl düzeltilir
- github.com/xuri/excelize/v22.11.1-0.20260912113515-5f636f9dcde5 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| excelize excelize | 2.3.1 ≤ v ≤ 2.11.0 | — |
| github.com/xuri/excelize/v2Go | 2.3.1 ≤ v < 2.11.1-0.20260912113515-5f636f9dcde5, v < 2.11.1-0.20260912113515-5f636f9dcde5 | 2.11.1-0.20260912113515-5f636f9dcde5 |
| github.com/360EntSecGroup-Skylar/excelize/v2Go | 2.3.1 ≤ v | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.