PHPOffice PHPPresentation: Unsichere Deserialisierung über manipulierte Präsentationsdatei

Zusammenfassung

PHPPresentation, eine PHP-Bibliothek zum Lesen und Schreiben von Präsentationsdateien, deserialisiert Daten aus der hochgeladenen Datei mit der PHP-Funktion unserialize(). Ein Angreifer kann eine manipulierte Datei bereitstellen, zum Beispiel ein ZIP-Archiv mit einer PhpPresentation.xml, die über IOFactory::load oder den Serialized-Reader geladen wird. Dies kann zu Codeausführung über Gadget-Ketten, zu beliebigen Dateischreibvorgängen oder zu einem Denial of Service führen. Das Risiko ist bei Webanwendungen am höchsten, die Präsentations-Uploads von nicht vertrauenswürdigen Benutzern akzeptieren.

Betroffen

• PHPOffice PHPPresentation 0 bis einschliesslich 1.2.0 (Composer-Paket phpoffice/phppresentation)

Behoben in

• Unbekannt. Ein Aggregator gibt an, dass Version 1.3.0 oder neuer den verwundbaren Code-Pfad Reader\Serialized::load entfernt. Es wurde keine Herstellerwarnung gefunden, daher vor einer Verlassung darauf die Releases-Seite prüfen.
• Pull Request #1038 schlägt eine Codekorrektur vor. Ob diese zusammengeführt wurde, ist unbekannt.

Umgehung

• Keine Herstellerumgehung gefunden.
• Hochgeladene Präsentationen nicht an PHPPresentation-Reader übergeben, einschliesslich IOFactory::load, bis die Bibliothek aktualisiert und als behoben bestätigt ist.
• Öffentliche Upload-Endpunkte einschränken und eine Authentifizierung verlangen.
• Dokumentenverarbeitung in einem isolierten Container oder einer Sandbox mit minimalem Dateisystem- und Netzwerkzugriff ausführen.

Ausnutzung

• CISA KEV: nicht gelistet.
• CISA SSVC: Ausnutzungsstatus 'poc', automatisierbar: nein, technische Auswirkung: total.
• Ein öffentlicher Write-up mit Proof-of-Concept-Details existiert für diese CVE und für CVE-2026-114404.
• EPSS: etwa 0.48 % Wahrscheinlichkeit einer Ausnutzung in den nächsten 30 Tagen.
• Aktive Ausnutzung in freier Wildbahn: unbekannt.

Unsere Empfehlung

• Alle Composer-Projekte mit phpoffice/phppresentation inventarisieren und die installierte Version ermitteln.
• Versionen bis einschliesslich 1.2.0 als verwundbar behandeln. Auf eine Version aktualisieren, die auf der Releases-Seite des Herstellers als behoben bestätigt ist.
• Bis zur Korrektur die Verarbeitung nicht vertrauenswürdiger Präsentations-Uploads deaktivieren oder auf authentifizierte, vertrauenswürdige Benutzer beschränken.
• CVE-2026-114404 (Cross-Site Scripting im HTML-Writer) gleichzeitig patchen.
• Upload- und Konvertierungsprotokolle auf ungewöhnliche Fehler oder Abstürze überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• PHPPresentation GitHub repository github.com
• VulnCheck advisory for PHPPresentation deserialization www.vulncheck.com
• Technical write-up (HackMD) hackmd.io
• IOFactory.php at 1.2.0 github.com
• Reader/Serialized.php at 1.2.0 github.com
• Pull request #1038 (proposed fix) github.com
• PHPPresentation releases github.com
• OpenCVE entry for CVE-2026-114403 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 04:08.