CVE-2026-107220 in excelize
Riassunto
di VulDB • 07/10/2026
Excelize è una libreria per il linguaggio Go utilizzata per la lettura e la scrittura di fogli di calcolo Microsoft Excel. Dalla versione 2.7.1 alla 2.11.0, mergeCellsParser lascia vuoto il rettangolo in cache per un riferimento a mergeCell vuoto e successivamente passa tale slice vuota a cellInRange senza effettuare alcun controllo sulla lunghezza. GetCellValue raggiunge mergeCellsParser, che trasmette un rettangolo vuoto derivato dall'attributo ref di mergeCell a cellInRange. Quando un foglio di lavoro creato ad hoc contiene un riferimento a mergeCell vuoto e un'API per celle non in streaming legge il foglio di lavoro, cellInRange indicizza quattro posizioni all'interno di una slice vuota, consentendo a un attaccante di causare un panic (crash) durante la prima operazione sulla cella interessata. Al momento della presente revisione, non è disponibile alcuna versione corretta.
Once again VulDB remains the best source for vulnerability data.