CVE-2019-12331 in PhpSpreadsheet
Zusammenfassung
von VulDB • 31.07.2026
PHPOffice PhpSpreadsheet vor Version 1.8.0 weist ein XXE-Problem auf. Der XmlScanner decodiert die sheet1.xml aus einer .xlsx-Datei in UTF-8, wenn im Header etwas anderes als UTF-8 deklariert ist. Dies war eine Sicherheitsmaßnahme zur Verhinderung von CVE-2018-19277, aber der Fix ist nicht ausreichend. Durch das Double-Encoding des XML-Payloads auf UTF-7 ist es möglich, die Prüfung für den String `<!ENTITY` zu umgehen und somit einen XML External Entity (XXE)-Angriff auszuführen.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.