CVE-2026-40296

PhpSpreadsheet przed wersją 1.30.5 zawierał lukę, która pozwalała na obejście zabezpieczeń związanych z obsługą wrapperów strumieniowych, co mogło prowadzić do zdalnego wykonania kodu (RCE). Problem wynikał z niewłaściwego sprawdzania schematu URL, co umożliwiało atakującym wykorzystanie wrapperów takich jak phar://.

PhpSpreadsheet w wielu wersjach (do 1.30.2, 2.0.0-2.1.14, 2.2.0-2.4.3, 3.3.0-3.10.3, 4.0.0-5.5.0) jest podatny na zdalne wykonanie kodu (RCE) poprzez kontrolowany przez użytkownika argument filename w IOFactory::load(). Atakujący może podać ścieżkę strumienia PHP (np. phar://, ftp://, ssh2.sftp://), która przechodzi kontrolę is_file() w File::assertFile(). Wrapper phar:// wyzwala deserializację metadanych PHAR, co może prowadzić do RCE, jeśli dostępny jest odpowiedni gadżet.

PhpSpreadsheet przed wersjami 1.30.7, 2.1.19, 2.4.8, 3.10.8 i 5.10.0 waliduje tylko początkowy adres URL zewnętrznego obrazu, nie stosując walidacji do przekierowań. Dozwolony host obrazu może przekierować serwer na adres wewnętrzny, powodując ślepe żądanie GET do wewnętrznych punktów końcowych, sieci lub metadanych chmury.

W bibliotece PhpSpreadsheet przed wersjami 1.30.7, 2.1.19, 2.4.8, 3.10.8 i 5.10.0 funkcja Ods::processTableRow przyjmuje nieograniczony atrybut table:number-rows-repeated z wiersza tabeli ODS. Gdy wiersz zawiera wartość, czytnik tworzy komórkę dla każdego powtórzenia bez sprawdzania limitu wierszy, więc mały plik ODS może zużyć dużo CPU i pamięci i zakończyć proces PHP.

W bibliotece PhpSpreadsheet przed wersjami 1.30.7, 2.1.19, 2.4.8, 3.10.8 i 5.10.0 funkcja XmlScanner::scan wykrywa DOCTYPE z uwzględnieniem bajtów NUL, ale nie sekwencji ucieczki ISO-2022 w częściach XML plików XLSX. Sekwencje te omijają skaner, a normalizacja kodowania usuwa bajty ucieczki przed parsowaniem, ujawniając prawidłowy DOCTYPE i definicje encji.

W bibliotece PhpSpreadsheet od wersji 3.3.0 do 3.10.8 i 5.10.0 czytnik Reader\Xml przepuszcza przechowywany XML SpreadsheetML przez XmlScanner::scan, a Xml::unentity dekoduje encje numeryczne dopiero po sprawdzeniu wzorca DOCTYPE. Podwójnie zakodowany znak mniejszości jest redukowany do dosłownego znaku mniejszości, więc SimpleXML otrzymuje niesprawdzony DOCTYPE i deklarację encji.

PhpSpreadsheet w wielu wersjach (4.0.0-5.8.0, 3.3.0-3.10.6, 2.2.0-2.4.6, 2.0.0-2.1.17 oraz wszystkie do 1.30.5) zawiera podatność w czytniku Gnumeric. Czytnik odczytuje dostarczone przez atakującego pliki .gnumeric do pamięci, a gdy plik zaczyna się od bajtów magicznych gzip, wywołuje gzdecode() na pełnej skompresowanej zawartości bez ograniczenia rozmiaru dekompresowanego pliku. Bardzo mały skompresowany plik .gnumeric może rozszerzyć się do danych większych niż limit pamięci PHP i spowodować awarię procesu podczas Gnumeric::canRead(), zanim plik zostanie odrzucony lub w pełni sparsowany. Podatność jest osiągalna przez normalne wykrywanie typu pliku i ścieżki ładowania Gnumeric, więc aplikacje akceptujące przesłane przez atakującego arkusze kalkulacyjne mogą ucierpieć z powodu odmowy usługi.

Biblioteka PhpSpreadsheet w wielu wersjach jest podatna na atak DoS poprzez odczyt plików OLE. Czytnik OLE podąża za łańcuchami sektorów z kontrolowanych przez atakującego metadanych XLS/OLE bez wykrywania cykli. Niewielki, złośliwy plik .xls może spowodować, że czytnik będzie wielokrotnie dołączał te same dane sektora, aż do wyczerpania pamięci PHP.

Biblioteka PhpSpreadsheet w wielu wersjach jest podatna na SSRF poprzez obejście białej listy domen funkcji WEBSERVICE(). Funkcja webService() waliduje host URL względem białej listy, ale PHP automatycznie podąża za przekierowaniami HTTP 301/302, a cel przekierowania nie jest ponownie walidowany. Atakujący może przesłać plik XLSX, który po obliczeniu formuły WEBSERVICE() spowoduje dostęp do dowolnych URL-i, w tym wewnętrznych adresów.

W bibliotece PhpSpreadsheet przed wersjami 1.30.4, 2.1.16, 2.4.5, 3.10.5 i 5.7.0 występuje podatność w metodzie ColumnAndRowAttributes::readRowAttributes(), która nie weryfikuje numerów wierszy w plikach XLSX względem maksymalnego limitu wierszy. Atakujący może stworzyć plik XLSX, który powoduje nadmierne obciążenie CPU podczas iteracji przez wiersze.