CVE-2026-40863 in PhpSpreadsheet
Сводка
по VulDB • 13.05.2026
PhpSpreadsheet — это чистая PHP-библиотека для чтения и записи файлов электронных таблиц. До версий 1.30.4, 2.1.16, 2.4.5, 3.10.5 и 5.7.0 считыватель SpreadsheetML XML (Reader\Xml) не проверяет атрибут ss:Index строки на соответствие максимально допустимому количеству строк (AddressRange::MAX_ROW = 1 048 576). Злоумышленник может создать файл SpreadsheetML XML с атрибутом ss:Index="999999999" в элементе, что приведет к увеличению внутреннего значения cachedHighestRow примерно до 1 миллиарда. Любой последующий вызов getRowIterator() без явного указания конечной строки попытается проитерировать ~1 миллиард строк, что вызовет исчерпание ресурсов процессора (CPU exhaustion) и отказ в обслуживании (DoS). Эта уязвимость исправлена в версиях 1.30.4, 2.1.16, 2.4.5, 3.10.5 и 5.7.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.