p PatchFirst

CVE-2019-12331

CVE-2019-12331

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

PHPOffice PhpSpreadsheet before 1.8.0 has an XXE issue. The XmlScanner decodes the sheet1.xml from an .xlsx to utf-8 if something else than UTF-8 is declared in the header. This was a security measurement to prevent CVE-2018-19277 but the fix is not sufficient. By double-encoding the the xml payload to utf-7 it is possible to bypass the check for the string ‚<!ENTITY‘ and thus allowing for an xml external entity processing (XXE) attack.

CVSS 8.8 · Hoch · EPSS 1,4% · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Technologie-Stack: php

Betroffene Produkte und Versionen

  • n/a

    Softwareversionen
    • n/a: Betroffen

    Keine Korrektur veröffentlicht

  • phpoffice/phpspreadsheet Packagist

    Softwareversionen
    • 1.0.0
    • 1.0.0-beta
    • 1.0.0-beta2
    • 1.1.0
    • 1.2.0
    • 1.2.1
    • 1.3.0
    • 1.3.1
    • 1.4.0
    • 1.4.1
    • 1.5.0
    • 1.5.1
    • 1.5.2
    • 1.6.0
    • 1.7.0
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 1.8.0

    Auf 1.8.0 aktualisieren

  • phpoffice/phpexcel Packagist

    Softwareversionen
    • 1.7.9
    • 1.7.9-rc1
    • 1.8.0
    • 1.8.0rc1
    • 1.8.0rc2
    • 1.8.0rc3
    • 1.8.0rc4
    • 1.8.1
    • 1.8.2
    Betroffene Versionsbereiche
    • ECOSYSTEM: ≤ 1.8.2

    Keine Korrektur veröffentlicht

Originalquellen

Prüfen Sie Ihren Server →