Vulnérabilité dans github.com/xuri/excelize/v2 (CVE-2026-107222)
Résumé
Vulnérabilité dans github.com/xuri/excelize/v2 (CVE-2026-107222). Risque d'opérations non autorisées ou de divulgation. Exploitable via GetConditionalFormats. Atténuation : mise à jour vers 2.11.1-0.20260812075026-be7a16390fa6 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Summary
GetConditionalFormats reads sub-elements of a `` straight out of xl/worksheets/sheetN.xml and indexes them without checking length, and in one case without checking for nil. Three rule types are affected: cellIs, dataBar and colorScale. A workbook with a rule that is missing a child a real Excel file would always have panics the call.
Where it is
All three sinks are in styles.go, at the same line numbers in v2.11.0 and on master d552a7e. All three are reached from GetConditionalFormats through styles.go:3271.
styles.go:3003, in extractCondFmtCellIs:
format.Value = c.Formula[0]
The branch above it handles len(c.Formula) == 2; this one is the fallback and does not check that there is a formula at all, so a cellIs rule with no `` child indexes an empty slice.
styles.go:3132, in the colorScale extractor:
values := len(c.ColorScale.Cfvo)
c.ColorScale is a *xlsxColorScale and is nil when the element has no child. Lines 3148 and 3153 then index Cfvo[1] and Cfvo[2] in the three-colour branch with no length check either.
styles.go:3186, :3188 and :3190, in the dataBar extractor:
format.MinType = c.DataBar.Cfvo[0].Type
...
format.BarColor = "#" + f.getThemeColor(c.DataBar.Color[0])
The guard here is c.DataBar != nil, which says nothing about the length of Cfvo or Color, so an empty `` element reaches all three.
Who the attacker is
Anyone who can hand a spreadsheet…
Source: NIST National Vulnerability Database NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-107222 a été découverte dans github.com/xuri/excelize/v2.
Des attaquants peuvent cibler un point d'entrée spécifique comme GetConditionalFormats à distance pour détourner le produit.
Risque d'opérations non autorisées ou de divulgation. Score CVSS : 6.5/10.
Action : mettez à jour github.com/xuri/excelize/v2 vers 2.11.1-0.20260812075026-be7a16390fa6 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « github.com/xuri/excelize/v2 CVE-2026-107222 » sur le site de l'éditeur.
CVE-2026-107222 (github.com/xuri/excelize/v2) — CWE-129 / CVSS v3 6.5
Vecteur d'attaque : distant (réseau) / non authentifié
Surface d'attaque : GetConditionalFormats / cellIs / dataBar / colorScale
Correctif : 2.11.1-0.20260812075026-be7a16390fa6 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une vulnérabilité (CWE-129) affecte github.com/xuri/excelize/v2. Les attaquants atteignent le code vulnérable via GetConditionalFormats sans authentification.
Consultez l'avis de l'éditeur pour les versions affectées de github.com/xuri/excelize/v2. Surface d'attaque : GetConditionalFormats / cellIs / dataBar / colorScale.
Gravité : Moyenne (CVSS 6.5/10). Risque d'opérations non autorisées ou de divulgation.
Mettre à jour vers 2.11.1-0.20260812075026-be7a16390fa6.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'github.com/xuri/excelize/v2' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
github.com/xuri/excelize/v2を grep し、稼働しているサービス・バージョンを把握する。 -
2Apply patch patch
Upgrade github.com/xuri/excelize/v2 to 2.11.1-0.20260812075026-be7a16390fa6ステージング環境で 2.11.1-0.20260812075026-be7a16390fa6 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
3Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
Références
- exploit security-advisories@github.com
- exploit github.com
- patch security-advisories@github.com
- web github.com