CVE-2026-108360
Açıklama
PhpSpreadsheet, hesap tablosu dosyalarını okumak ve yazmak için kullanılan saf bir PHP kütüphanesidir. 1.30.7, 2.1.19, 2.4.8, 3.10.8 ve 5.10.0 sürümlerinden öncekilerde, setAllowExternalImages etkinleştirildiğinde Worksheet\Drawing::setPath yalnızca başlangıçtaki harici resim URL'sini setIsWhitelisted ile doğrular. HTTP akış bağlamı, PHP'nin yönlendirilen URL'ye geri çağırma işlemini uygulamadan bir yönlendirmeyi takip etmesine izin verir; bu nedenle, izin verilen bir resim ana bilgisayarı sunucuyu dahili bir adrese yönlendirebilir ve kör bir GET isteğine neden olabilir. Okuyucu, indirilen içeriği bir resim olarak doğrulayıp geçici dosyayı sildiği için yanıt gövdesi saldırgana döndürülmez ancak dahili GET tabanlı uç noktalarına, ağ erişilebilirliğine ve bulut meta veri uç noktalarına erişilebilir. Bu sorun 1.30.7, 2.1.19, 2.4.8, 3.10.8 ve 5.10.0 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- phpoffice/phpspreadsheet5.10.0, 3.10.8, 2.4.8, 2.1.19, 1.30.7 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| phpoffice/phpspreadsheetPackagist | 4.0.0 ≤ v < 5.10.0, 3.3.0 ≤ v < 3.10.8, 2.2.0 ≤ v < 2.4.8, 2.0.0 ≤ v < 2.1.19, v < 1.30.7 | 5.10.0, 3.10.8, 2.4.8, 2.1.19, 1.30.7 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.