PhpSpreadsheet : contournement du scanner XML pouvant mener à une XXE et à un déni de service

Veille sécuritéBackend & données

P3Élevée

Un contournement du contrôle XML dans le lecteur SpreadsheetML de PhpSpreadsheet peut permettre l’expansion d’entités XML, entraînant un déni de service et, dans certaines configurations, des lectures de fichiers ou des requêtes SSRF. Les branches et versions affectées ainsi que les correctifs correspondants sont indiqués dans l’avis ; mettre à niveau vers une version corrigée.

IdentifiantCVE-2026-108357

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctif5.10.0, 3.10.8

Source : GHSA-rxj4-h86g-25gc — PhpSpreadsheet XmlScanner Bypass

Analyse technique

Le lecteur XML effectue deux analyses et décode les entités après le contrôle de motif, ce qui permet à un contenu doublement encodé de contourner le scanner. Le correctif est indiqué pour les branches concernées : 5.10.0 et 3.10.8.

Impact, versions et correctif

Événement datéAvis publié le 2026-10-27T15:38:22Z, dans la période demandée.

ImpactUn fichier XML malveillant peut provoquer une expansion d’entités et un déni de service ; certaines configurations peuvent également permettre une lecture de fichiers ou une SSRF.

Versions affectées4.0.0–5.9.0 ; 3.3.0–3.10.7

Version corrigée5.10.0, 3.10.8

Exploitation activenon connue / non déterminée

PoC publicinconnu

EPSS0,36% · percentile 29,3%

Publication2026-10-27T15:38:22Z

Mise à jour2026-10-27T15:38:25Z

Action recommandée

Mettre à niveau vers PhpSpreadsheet 5.10.0 ou 3.10.8 selon la branche utilisée.

Sources

GHSA-rxj4-h86g-25gc — PhpSpreadsheet XmlScanner Bypass

Priorisation DFS : P3 · 1 source(s).