CVE-2026-107220 in excelize
요약
\~에 의해 VulDB • 2026. 10. 07.
Excelize는 Microsoft Excel 스프레드시트를 읽고 쓰기 위한 Go 언어 라이브러리입니다. 2.7.1부터 2.11.0 버전까지, mergeCellsParser 함수는 빈 mergeCell 참조에 대해 캐시된 사각형(rectangle)을 비워둔 채로 길이 검사 없이 해당 빈 슬라이스(slice)를 cellInRange 함수에 전달합니다. GetCellValue가 mergeCellsParser를 호출하면, 이는 mergeCell ref 속성에서 파생된 빈 사각형을 cellInRange으로 전달합니다. crafted 워크시트가 빈 mergeCell 참조를 포함하고 있고 스트리밍이 아닌 셀 API가 그 워크시드를 읽을 때, cellInRange은 빈 슬라이스에서 4개의 위치를 인덱싱하여 공격자가 첫 번째로 영향을 받는 셀 작업에서 패닉(panic)을 유발할 수 있습니다. 이 검토 시점 기준 수정된 버전은 없습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.