Résumé
Vulnérabilité dans exceljs-hardened (CVE-2026-78208). Des informations confidentielles peuvent être exposées. Exploitable via filename.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
exceljs-hardened before 5.0.0 contains a path traversal vulnerability in the Workbook.addImage() function that fails to validate file paths. Attackers can supply arbitrary file paths to read any file accessible to the Node.js process and embed it in the generated workbook.
Source: NIST National Vulnerability Database NVD GitHub Advisory
Résumé IA
Rédigé par une IA externe ; il peut contenir des erreurs. Vérifiez la description d'origine et les références ci-dessous avant d'agir.
Une vulnérabilité référencée CVE-2026-78208 a été découverte dans path-traversal.
Des attaquants peuvent cibler un point d'entrée spécifique comme filename à distance pour détourner le produit.
Des informations confidentielles peuvent être exposées. Score CVSS : 7.5/10.
Action : appliquez le correctif officiel de l'éditeur.
En cas de doute, contactez votre service informatique ou cherchez « path-traversal CVE-2026-78208 » sur le site de l'éditeur.
CVE-2026-78208 (path-traversal) — CWE-73 / CVSS v3 7.5
Vecteur d'attaque : distant (réseau) / non authentifié / sans interaction utilisateur
Surface d'attaque : filename
Versions affectées : <= 4.4.0
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
exceljs-hardenedのWorkbook.addImage()関数にはパストラバーサルの脆弱性があります。
exceljs-hardenedバージョン5.0.0未満
攻撃者が任意のファイルを読み取れる可能性があるため、システムの情報漏洩リスクが高まります。
バージョン5.0.0にアップデートすることで、この脆弱性を修正できます。
一時的にファイルパスのバリデーションを自前で実装することが推奨されます。
コードベースでWorkbook.addImage()関数の使用箇所を調査し、バリデーションが適用されているか確認します。