p PatchFirst

CVE-2019-12331

CVE-2019-12331

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

PHPOffice PhpSpreadsheet before 1.8.0 has an XXE issue. The XmlScanner decodes the sheet1.xml from an .xlsx to utf-8 if something else than UTF-8 is declared in the header. This was a security measurement to prevent CVE-2018-19277 but the fix is not sufficient. By double-encoding the the xml payload to utf-7 it is possible to bypass the check for the string ‚<!ENTITY‘ and thus allowing for an xml external entity processing (XXE) attack.

CVSS 8.8 · Élevée · EPSS 1,4% · Correctif disponible

Publication
Mise à jour

Pile logicielle: php

Produits et versions concernés

  • n/a

    Versions du logiciel
    • n/a: Concernée

    Aucun correctif publié

  • phpoffice/phpspreadsheet Packagist

    Versions du logiciel
    • 1.0.0
    • 1.0.0-beta
    • 1.0.0-beta2
    • 1.1.0
    • 1.2.0
    • 1.2.1
    • 1.3.0
    • 1.3.1
    • 1.4.0
    • 1.4.1
    • 1.5.0
    • 1.5.1
    • 1.5.2
    • 1.6.0
    • 1.7.0
    Plages de versions concernées
    • ECOSYSTEM: < 1.8.0

    Mettez à jour vers 1.8.0

  • phpoffice/phpexcel Packagist

    Versions du logiciel
    • 1.7.9
    • 1.7.9-rc1
    • 1.8.0
    • 1.8.0rc1
    • 1.8.0rc2
    • 1.8.0rc3
    • 1.8.0rc4
    • 1.8.1
    • 1.8.2
    Plages de versions concernées
    • ECOSYSTEM: ≤ 1.8.2

    Aucun correctif publié

Sources originales

Vérifiez votre serveur →