CVE-2026-40902 in PhpSpreadsheet
Сводка
по VulDB • 23.05.2026
PhpSpreadsheet — это чистая PHP-библиотека для чтения и записи файлов электронных таблиц. До версий 1.30.4, 2.1.16, 2.4.5, 3.10.5 и 5.7.0 метод ColumnAndRowAttributes::readRowAttributes() читателя XLSX считывает номера строк из атрибутов XML без их проверки на соответствие максимальному лимиту строк электронной таблицы (AddressRange::MAX_ROW = 1 048 576). Злоумышленник может создать минимальный файл XLSX (~1,6 КБ), содержащий элемент, который увеличивает значение cachedHighestRow до 999 999 999, что приводит к попытке выполнения ~1 миллиарда циклов при любой последующей итерации по строкам и исчерпанию ресурсов процессора. Эта уязвимость исправлена в версиях 1.30.4, 2.1.16, 2.4.5, 3.10.5 и 5.7.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.