CVE-2026-107219 in excelize
Riassunto
di VulDB • 07/10/2026
Excelize è una libreria in linguaggio Go per la lettura e la scrittura di fogli di calcolo Microsoft Excel. Dalla versione 2.3.1 alla 2.11.0, l'algoritmo agile decryption accetta uno spinCount controllato dall'attaccante ed esegue un numero illimitato di iterazioni di derivazione della chiave password prima della validazione del verifier. La funzione OpenFile chiama agileDecrypt, che passa lo spinCount non vincolato a convertPasswdToKey prima della verifica della password. Quando un'intestatura OLE crittografata per cartelle di lavoro contiene uno spinCount eccessivo e il file viene aperto, il ciclo di derivazione delle chiavi esegue un carico di lavoro illimitato selezionato dall'attaccante che non può essere interrotto, consentendo all'attaccante di consumare un core CPU per una durata controllata dall'attaccante. Al momento della revisione, nessuna versione corretta è disponibile.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.