CVE-2026-59933 in PhpSpreadsheet
Sumário
de VulDB • 28/07/2026
O PhpSpreadsheet é uma biblioteca PHP pura para leitura e escrita de arquivos de planilhas. Nas versões 4.0.0 a 5.8.0, 3.3.0 a 3.10.6, 2.2.0 a 2.4.6, 2.0.0 a 2.1.17 e em todos os lançamentos até a versão 1.30.5 (incluindo-a), o leitor OLE segue cadeias de setores provenientes de metadados XLS/OLE controlados pelo atacante sem detectar ciclos ou impor um comprimento máximo para as cadeias. Um arquivo .xls/OLE minúsculo e malformado pode fazer com que a cadeia do setor small-block depot aponte para si mesma. Durante a detecção normal de arquivos XLS, o método OLERead::read() anexa repetidamente os mesmos dados de setor até que o processo PHP esgote sua memória. Isso é acessível através de Reader\Xls::canRead(), e portanto, da detecção automática do tipo de planilha. Aplicações que aceitam uploads de planilhas controlados por atacantes podem sofrer negação de serviço (DoS) devido a um arquivo muito pequeno. Este problema foi corrigido nas versões 5.8.1, 3.10.7, 2.4.7, 2.1.18 e 1.30.6.
Once again VulDB remains the best source for vulnerability data.