CVE-2026-114403

WysokieCVSS 8.1

Opublikowano: 21/10/2026(UTC)Zaktualizowano: 28/10/2026(UTC)Przetłumaczono: 22/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

0.70%

Percentyl 53 - wyżej niż 53% wszystkich znanych CVE

Streszczenie

Biblioteka PHPOffice PHPPresentation do wersji 1.2.0 zawiera podatność niezabezpieczonej deserializacji, która pozwala atakującemu na utworzenie dowolnych obiektów PHP poprzez dostarczenie spreparowanego pliku prezentacji. Atakujący może przesłać archiwum ZIP zawierające PhpPresentation.xml, które IOFactory::load przekazuje do unserialize(), umożliwiając wykonanie kodu poprzez łańcuch gadgetów, zapis plików lub atak odmowy usługi.

Ocena ryzyka

Podatność może prowadzić do zdalnego wykonania kodu w kontekście aplikacji przetwarzającej przesłane pliki, co grozi pełnym przejęciem serwera lub utratą danych. Organizacje przyjmujące pliki prezentacji od użytkowników są szczególnie narażone.

Rekomendacja

Zaktualizuj bibliotekę PHPOffice PHPPresentation do wersji nowszej niż 1.2.0, jeśli jest dostępna, lub wdroż dodatkową walidację przesyłanych plików i unikaj deserializacji niezaufanych danych. Rozważ ograniczenie możliwości przesyłania plików prezentacji przez niezaufanych użytkowników.

Inne podatności w PHPOffice PHPPresentation

CVE-2026-114404Średnie
PHPOffice PHPPresentation 1.2.0 zawiera podatność na cross-site scripting w module zapisu HTML, która pozwala atakującym dostarczającym treść prezentacji wstrzyknąć skrypt do generowanego HTML. Atakujący może przygotować plik PPTX ze złośliwymi fragmentami tekstu, celami relacji hiperłączy lub atrybutami descr kształtów, które są emitowane bez escapowania, co prowadzi do wykonania skryptu w przeglądarkach przeglądających.

Oryginalny opis (angielski, źródło NVD)

PHPOffice PHPPresentation through 1.2.0 contains an insecure deserialization vulnerability that allows attackers to instantiate arbitrary PHP objects by supplying a crafted presentation file. Attackers can upload a ZIP containing PhpPresentation.xml that IOFactory::load passes to unserialize(), enabling gadget-chain code execution, file writes, or denial of service.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS