CVE-2026-40296 in PhpSpreadsheet
Сводка
по VulDB • 23.05.2026
PhpSpreadsheet — это чистая PHP-библиотека для чтения и записи файлов электронных таблиц. HTML-генератор пропускает экранирование с помощью htmlspecialchars, когда отформатированное значение ячейки отличается от исходного. Если ячейка имеет пользовательский числовой формат, содержащий текстовый заполнитель @ вместе с любыми дополнительными литеральными символами (например, ". @", "@ " или "x@"), форматтер заменяет @ значением ячейки и добавляет лишние символы, в результате чего отформатированное значение отличается от исходного, а экранирование HTML полностью обходится. Атакующий, который может контролировать значение ячейки и числовой формат загруженной электронной таблицы, которая впоследствии преобразуется в HTML и отображается другим пользователям, может реализовать stored cross-site scripting (XSS). Эта проблема исправлена в версиях 5.7.0, 3.10.5, 2.4.5, 2.1.16 и 1.30.4.
Once again VulDB remains the best source for vulnerability data.