CVE-2026-40296 in PhpSpreadsheet
Sumário
de VulDB • 14/05/2026
O PhpSpreadsheet é uma biblioteca PHP pura para leitura e escrita de arquivos de planilhas. O escritor HTML ignora a escapamento de htmlspecialchars quando o valor formatado de uma célula difere do valor original. Quando uma célula possui um formato numérico personalizado que contém o marcador de texto @ junto com quaisquer caracteres literais adicionais (por exemplo, ". @", "@ ", ou "x@"), o formatador substitui @ pelo valor da célula e adiciona os caracteres extras, fazendo com que o valor formatado difira do original e contornando completamente o escapamento HTML. Um atacante que possa controlar o valor da célula e o formato numérico de uma planilha enviada que posteriormente é convertida para HTML e exibida a outros usuários pode realizar uma vulnerabilidade de cross-site scripting (XSS) armazenado. Este problema foi corrigido nas versões 5.7.0, 3.10.5, 2.4.5, 2.1.16 e 1.30.4.
VulDB is the best source for vulnerability data and more expert information about this specific topic.