Vulnerability in exceljs-hardened (CVE-2026-78209)
Summary
Vulnerability in exceljs-hardened (CVE-2026-78209). Confidential information can be exposed externally. Exploitable via options.escapeFormulas.
Original description
The description as published by the source.
exceljs-hardened versions before 5.0.0 fail to neutralize leading equals, plus, minus, or at signs in cell values written to CSV output. Attackers who can influence exported cell values can inject formulas that execute when the CSV file is opened in a spreadsheet application, potentially exfiltrating data or performing other malicious actions.
Source: NIST National Vulnerability Database NVD GitHub Advisory
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
exceljs-hardenedはバージョン5.0.0未満で、CSV出力におけるセル値の中の先頭にあるイコール、プラス、マイナス、またはアットマークを適切に無害化できない問題があります。攻撃者が影響を与えるセル値をエクスポートできる場合、スプレッドシートアプリケーションでCSVファイルを開くと式が実行され、データの漏洩や他の悪意ある動作が可能となる可能性があります。
exceljs-hardenedでCSV出力においてセル値の先頭記号が無害化されない問題。
exceljs-hardened バージョン5.0.0未満のソフトウェア。
攻撃者がCSV内の式を注入可能で、データ漏洩や悪意のある操作が行われる可能性。
バージョン5.0.0以上にアップデートする。
暫定的に、CSV出力時にセル値の先頭記号を手動でエスケープする。
影響を受けるバージョンを使用しているかどうかを確認し、CSVファイルの出力方法を検査する。