CVE-2026-108359

Что произошло

PhpSpreadsheet is a pure PHP library for reading and writing spreadsheet files. Prior to 1.30.7, 2.1.19, 2.4.8, 3.10.8, and 5.10.0, Ods::processTableRow in src/PhpSpreadsheet/Reader/Ods.php accepts an unbounded table:number-rows-repeated attribute from an ODS table row. When the row contains a value, the reader materializes a cell for every repetition without checking the spreadsheet row limit, so a small attacker-controlled ODS file can consume substantial CPU and memory and terminate the PHP worker. Column repetition is separately bounded and is not part of this vulnerability. This issue is fixed in versions 1.30.7, 2.1.19, 2.4.8, 3.10.8, and 5.10.0.

Что делать

dpkg-query -W -f='${Package}	${Version}\n'

rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'

Get-HotFix | Select-Object HotFixID, InstalledOn

Продукты и затронутые версии

{
  "status": "affected",
  "version": "< 1.30.7"
}

{
  "status": "affected",
  "version": ">= 2.0.0, < 2.1.19"
}

{
  "status": "affected",
  "version": ">= 2.2.0, < 2.4.8"
}

{
  "status": "affected",
  "version": ">= 3.3.0, < 3.10.8"
}

{
  "status": "affected",
  "version": ">= 4.0.0, < 5.10.0"
}

CVSS: оценки и векторы

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Источники и ссылки

{
  "cwes": [
    "cve",
    "ghsa",
    "nvd"
  ],
  "epss": {
    "source": "epss",
    "received_at": "2026-11-04T21:14:03.173221+00:00"
  },
  "title": {
    "source": "cve",
    "received_at": "2026-10-29T12:05:29.035919+00:00"
  },
  "scores": [
    "cve",
    "nvd"
  ],
  "status": {
    "source": "cve",
    "received_at": "2026-10-29T12:05:29.035919+00:00"
  },
  "affected": [
    "cve",
    "ghsa"
  ],
  "published": {
    "source": "cve",
    "received_at": "2026-10-29T12:05:29.035919+00:00"
  },
  "solutions": [],
  "percentile": {
    "source": "epss",
    "received_at": "2026-11-04T21:14:03.173221+00:00"
  },
  "references": [
    "cve",
    "ghsa",
    "nvd"
  ],
  "description": {
    "source": "cve",
    "received_at": "2026-10-29T12:05:29.035919+00:00"
  },
  "workarounds": [],
  "configurations": []
}

Хронология записи

1. Данные обновлены05.11.2026, 00:14
2. Данные обновлены04.11.2026, 00:11
3. Данные обновлены03.11.2026, 00:11
4. Данные обновлены02.11.2026, 00:09
5. Данные обновлены31.10.2026, 11:56
6. Данные обновлены30.10.2026, 16:17
7. Данные обновлены29.10.2026, 15:36
8. Появилась ссылка на PoC29.10.2026, 15:05
9. Данные обновлены29.10.2026, 00:26
10. Данные обновлены28.10.2026, 18:05
11. Появились сведения об исправлении28.10.2026, 17:59

Личная заметка и статус

Другие CVE того же продукта