8.7
CVSS 4.0
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.
- Експлоатация: няма данни за експлоатация
- Атаката може да се автоматизира
Описание
Оригинално описание
exceljs through 4.4.0 contains a path traversal vulnerability in the Workbook.addImage() function that fails to validate file paths. Attackers can supply arbitrary file paths to read any file accessible to the Node.js process and embed it in the generated workbook.
Засегнати продукти
- exceljs exceljs: до 4.4.0
Вид слабост
История
- 24 август 2026 Публикувано
Други уязвимости в exceljs exceljs
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-78208
- https://nvd.nist.gov/vuln/detail/CVE-2026-78208
- https://github.com/exceljs/exceljs
- https://github.com/mateocallec/exceljs-hardened/security/advisories/GHSA-m8mg-8574-gm3m
- https://github.com/exceljs/exceljs/blob/v4.4.0/lib/doc/workbook.js#L142-L147
- https://github.com/exceljs/exceljs/blob/v4.4.0/lib/xlsx/xlsx.js#L421-L429
- https://www.vulncheck.com/advisories/exceljs-through-path-traversal-via-unvalidated-addimage-filename