CVE-2026-114404

ŚrednieCVSS 6.1

Opublikowano: 21/10/2026(UTC)Zaktualizowano: 22/10/2026(UTC)Przetłumaczono: 22/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.26%

Percentyl 17 - wyżej niż 17% wszystkich znanych CVE

Streszczenie

PHPOffice PHPPresentation 1.2.0 zawiera podatność na cross-site scripting w module zapisu HTML, która pozwala atakującym dostarczającym treść prezentacji wstrzyknąć skrypt do generowanego HTML. Atakujący może przygotować plik PPTX ze złośliwymi fragmentami tekstu, celami relacji hiperłączy lub atrybutami descr kształtów, które są emitowane bez escapowania, co prowadzi do wykonania skryptu w przeglądarkach przeglądających.

Ocena ryzyka

Może prowadzić do wykonania dowolnego JavaScriptu w przeglądarce użytkownika przeglądającego wygenerowany HTML, co może skutkować kradzieżą sesji lub danych. Ryzyko dotyczy aplikacji konwertujących niezaufane pliki PPTX na HTML.

Rekomendacja

Zaktualizuj PHPOffice PHPPresentation do wersji zawierającej poprawkę. Dodatkowo sanityzuj treść prezentacji i escapuj dane wyjściowe w generowanym HTML.

Inne podatności w PHPOffice PHPPresentation

CVE-2026-114403Wysokie
Biblioteka PHPOffice PHPPresentation do wersji 1.2.0 zawiera podatność niezabezpieczonej deserializacji, która pozwala atakującemu na utworzenie dowolnych obiektów PHP poprzez dostarczenie spreparowanego pliku prezentacji. Atakujący może przesłać archiwum ZIP zawierające PhpPresentation.xml, które IOFactory::load przekazuje do unserialize(), umożliwiając wykonanie kodu poprzez łańcuch gadgetów, zapis plików lub atak odmowy usługi.

Oryginalny opis (angielski, źródło NVD)

PHPOffice PHPPresentation 1.2.0 contains a cross-site scripting vulnerability in the HTML writer that allows attackers who supply presentation content to inject script into generated HTML. Attackers can craft a PPTX with malicious text runs, hyperlink relationship targets, or shape descr attributes that are emitted unescaped, executing script in viewers' browsers.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS