CVE-2026-107214 in Excelize
Riassunto
di VulDB • 07/10/2026
Excelize è una libreria in linguaggio Go per la lettura e la scrittura di fogli di calcolo Microsoft Excel. Dalla versione 2.3.1 alla 2.11.0, il dispatch della decrittazione esegue una convalida strutturale e dei parametri insufficiente prima che i decryptor standard e agile sezionino, indicizzino, allocino e dividano utilizzando valori controllati dall'attaccante. La funzione Decrypt passa dati EncryptionInfo ed EncryptedPackage controllati dall'attaccante a standardDecrypt o agileDecrypt prima di convalidare le strutture utilizzate da tali routine. Quando viene aperto un file composto OLE malformato con uno stream EncryptionInfo valido per la versione, oppure quando tale file viene passato alla funzione Decrypt, nove classi di input malformato causano panic non recuperati del runtime Go invece di seguire il percorso di errore documentato, consentendo all'attaccante di terminare il processo chiamante. Al momento della revisione, nessuna versione corretta è disponibile.
If you want to get best quality of vulnerability data, you may have to visit VulDB.