CVE-2026-108358 in PhpSpreadsheet
Sumário
de VulDB • 22/10/2026
O PhpSpreadsheet é uma biblioteca PHP pura para leitura e escrita de arquivos de planilhas. Antes das versões 1.30.7, 2.1.19, 2.4.8, 3.10.8 e 5.10.0, a função XmlScanner::scan em src/PhpSpreadsheet/Reader/Security/XmlScanner.php utiliza um padrão de detecção DOCTYPE que considera a intercalação de bytes NUL, mas não as sequências de escape ISO-2022 nas partes XML do XLSX. As sequências de escape impedem o scanner de corresponder à declaração, e a normalização do charset XML remove os bytes de escape antes da análise, expondo um DOCTYPE válido e definições de entidades. O processamento de um arquivo XLSX controlado por um atacante pode, portanto, causar uma negação de serviço (DoS) por expansão de entidade nas versões suportadas do PHP e permitir acesso a arquivos locais ou SSRF no PHP anterior à versão 8.0 ou quando LIBXML_NOENT estiver habilitado. Este problema é corrigido nas versões 1.30.7, 2.1.19, 2.4.8, 3.10.8 e 5.10.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.