PhpSpreadsheet ODS Reader: Denial of Service durch unbegrenztes number-rows-repeated

Zusammenfassung

PhpSpreadsheet, eine PHP-Bibliothek zum Lesen und Schreiben von Tabellenkalkulationsdateien, prüft beim Einlesen von ODS-Dateien mit einem sehr grossen table:number-rows-repeated-Wert das Zeilenlimit nicht. Eine kleine, speziell präparierte ODS-Datei kann dazu führen, dass der PHP-Prozess übermässig viel CPU und Speicher verbraucht und abbricht. Der Angriff erfordert keine Authentifizierung, sondern lediglich, dass eine Anwendung vom Angreifer gelieferte ODS-Eingaben einliest.

Betroffen

• PhpSpreadsheet vor 1.30.7
• 2.0.0 vor 2.1.19
• 2.2.0 vor 2.4.8
• 3.3.0 vor 3.10.8
• 4.0.0 vor 5.10.0

Behoben in

• 1.30.7
• 2.1.19
• 2.4.8
• 3.10.8
• 5.10.0

Umgehung

• Ein Update ist die empfohlene Behebung.
• Nicht vertrauenswürdige .ods-Dateien bis zur Aktualisierung nicht einlesen.
• .ods-Uploads ablehnen, wo sie nicht benötigt werden.
• Importe in einem Worker-Prozess mit Speicherlimit und Timeout ausführen.

Ausnutzung

• CISA SSVC: Exploitation-Status poc, automatisierbar: ja, technische Auswirkung: partiell.
• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
• In den geprüften Quellen wurde kein öffentlicher Exploit-Code gefunden.
• In den geprüften Quellen nicht im CISA KEV-Katalog aufgeführt.

Unsere Empfehlung

• Webanwendungen und Importprozesse auf phpoffice/phpspreadsheet in composer.lock-Dateien prüfen.
• Wird eine betroffene Version gefunden und akzeptiert die Anwendung .ods-Dateien, auf die gepatchte Version des eigenen Zweigs aktualisieren.
• Softwarelieferanten fragen, ob ODS-Uploads möglich sind, und gepatchte Versionen anfordern.
• Logs auf Worker-Abstürze oder Speicherüberlastung bei Dateiimporten überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• PhpSpreadsheet GitHub security advisory GHSA-j2w7-387v-m2rq github.com
• PhpSpreadsheet release 5.10.0 github.com
• PhpSpreadsheet release 1.30.7 github.com
• PhpSpreadsheet release 2.1.19 github.com
• PhpSpreadsheet release 2.4.8 github.com
• PhpSpreadsheet release 3.10.8 github.com
• GitLab Advisory Database entry for CVE-2026-108359 advisories.gitlab.com
• Tenable CVE entry CVE-2026-108359 www.tenable.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 00:43.