Résumé
généré automatiquement à partir des données NVDDans PhpSpreadsheet, lorsque l'argument filename de IOFactory::load() est contrôlé par l'utilisateur, un attaquant peut fournir un chemin de wrapper de flux PHP (phar://, ftp://, ssh2.sftp://) qui passe le contrôle is_file() de File::assertFile(). Le wrapper phar:// déclenche la désérialisation des métadonnées PHAR (CWE-502), pouvant mener à une exécution de code à distance si une chaîne de gadgets existe, tandis que ftp:// et ssh2.sftp:// permettent une SSRF. Score CVSS v3.1 : 9.8 (critique). La description indique des correctifs dans les versions 1.30.3, 2.1.15, 2.4.4, 3.10.4 et 5.6.0.
Description NVD (anglais)
PhpSpreadsheet is a library for reading and writing spreadsheet files. In versions 1.30.2 and earlier, 2.0.0 through 2.1.14, 2.2.0 through 2.4.3, 3.3.0 through 3.10.3, and 4.0.0 through 5.5.0, when the filename argument to IOFactory::load() is user-controlled, an attacker can supply a PHP stream wrapper path (such as phar://, ftp://, or ssh2.sftp://) that passes the is_file() check in File::assertFile(). The phar:// wrapper triggers deserialization of the PHAR metadata, which can lead to remote code execution if a suitable gadget chain is available in the application. The ftp:// and ssh2.sftp:// wrappers can be used for server-side request forgery. This issue has been fixed in versions 1.30.3, 2.1.15, 2.4.4, 3.10.4, and 5.6.0.
EPSS · FIRST.org
0,78 %de probabilité d'exploitation dans les 30 prochains jours
Supérieure à 55 % des CVE notées
L'EPSS (Exploit Prediction Scoring System) estime, à partir de l'activité d'exploitation observée, la probabilité qu'une CVE soit exploitée dans les 30 prochains jours. Il complète le CVSS, qui mesure la gravité et non la probabilité d'attaque. Score du 16 oct. 2026, recalculé chaque jour par FIRST.org.
Articles d'analyse sur cveo.tech
Nous avons publié une analyse détaillée de cette CVE — exploitation, IOC et mitigation.
Score CVSS v3.1
Informations
- Publié
- 5 mai 2026
- Mis à jour
- 24 juil. 2026
- Statut
- Analyzed
- Source
- security-advisories@github.com
Produits affectés
Faiblesses (CWE)
Références (2)
- https://github.com/PHPOffice/PhpSpreadsheet/security/advisories/GHSA-q4q6-r8wh-5cghExploitMitigationVendor Advisory
- https://github.com/PHPOffice/PhpSpreadsheet/security/advisories/GHSA-q4q6-r8wh-5cghExploitMitigationVendor Advisory
CVEs similaires
Autres vulnérabilités de type CWE-502
Surveillez vos produits
Recevez une alerte automatique à chaque nouvelle CVE affectant vos équipements.