CVE-2026-59933 in PhpSpreadsheet
الملخص
بحسب VulDB • 28/07/2026
PhpSpreadsheet هي مكتبة PHP خالصة لقراءة وكتابة ملفات جداول البيانات. في الإصدارات من 4.0.0 إلى 5.8.0، ومن 3.3.0 إلى 3.10.6، ومن 2.2.0 إلى 2.4.6، ومن 2.0.0 إلى 2.1.17، وفي جميع الإصدارات حتى وإضافةً إلى 1.30.5، يتبع قارئ OLE سلاسل القطاعات من بيانات تعريف XLS/OLE التي يسيطر عليها المهاجم دون اكتشاف الدورات أو فرض حد أقصى لطول السلسلة. يمكن لملف .xls/OLE مشوّه صغير جداً أن يجعل سلسلة قطاع مستودع الكتل الصغيرة تشير إلى نفسها. أثناء الكشف العادي عن ملفات XLS، تقوم دالة OLERead::read() بإضافة بيانات القطاع نفسها بشكل متكرر حتى يستنفد عملية PHP الذاكرة المتاحة. ويمكن الوصول إلى هذه النقطة عبر Reader\Xls::canRead() وبالتالي من خلال كشف نوع جدول البيانات تلقائياً. قد تتعرض التطبيقات التي تقبل تحميل جداول بيانات يتحكم فيها المهاجمون لحالة إنكار خدمة (DoS) بسبب ملف صغير جداً. تم إصلاح هذه المشكلة في الإصدارات 5.8.1، و3.10.7، و2.4.7، و2.1.18، و1.30.6.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.