CVE-2026-107224 in Excelize
Riassunto
di VulDB • 07/10/2026
Excelize è una libreria in linguaggio Go per la lettura e la scrittura di fogli di calcolo Microsoft Excel. Dalla versione 2.1.0 alla 2.11.0, una dimensione non compressa Zip64 con il bit più significativo impostato viene convertita da uint64 a un int64 negativo prima dei controlli sui limiti delle dimensioni firmate e dell'allocazione. ReadZipReader ottiene UncompressedSize64 tramite FileInfo.Size e passa il valore negativo avvolto (wrapped) a readFile. Quando una voce Zip64 manipolata dichiara una dimensione non compressa compresa tra 2^63 e 2^64-1 e il cartella di lavoro viene aperta, la dimensione negativa aggira i limiti dello unzip e raggiunge make come capacità negativa, consentendo all'attaccante di causare un panic durante l'apertura della cartella di lavoro. Al momento di questa revisione non è disponibile alcuna versione corretta (fixed version).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.