Summary
Vulnerability in exceljs-hardened (CVE-2026-78208). Confidential information can be exposed externally. Exploitable via filename.
Original description
The description as published by the source.
exceljs-hardened before 5.0.0 contains a path traversal vulnerability in the Workbook.addImage() function that fails to validate file paths. Attackers can supply arbitrary file paths to read any file accessible to the Node.js process and embed it in the generated workbook.
Source: NIST National Vulnerability Database NVD GitHub Advisory
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
exceljs-hardened 5.0.0未満にパストラバーサルの脆弱性があります。攻撃者はWorkbook.addImage()関数を悪用して任意のファイルパスを指定でき、ノードプロセスがアクセス可能なファイルを読み取ることができます。
exceljs-hardenedのWorkbook.addImage()関数にはパストラバーサルの脆弱性があります。
exceljs-hardenedバージョン5.0.0未満
攻撃者が任意のファイルを読み取れる可能性があるため、システムの情報漏洩リスクが高まります。
バージョン5.0.0にアップデートすることで、この脆弱性を修正できます。
一時的にファイルパスのバリデーションを自前で実装することが推奨されます。
コードベースでWorkbook.addImage()関数の使用箇所を調査し、バリデーションが適用されているか確認します。