CVE-2026-45034

Zusammenfassung

PhpSpreadsheet ist eine reine PHP-Bibliothek zum Lesen und Schreiben von Tabellenkalkulationsdateien. Vor Version 1.30.5 wurde CVE-2026-34084 durch den Helfer `File::prohibitWrappers` gepatcht. Der Helfer ruft `parse_url($filename, PHP_URL_SCHEME)` auf und prüft dann `is_string($scheme) && strlen($scheme) > 1`, um Stream-Wrapper wie `phar://`, `php://`, `data://` oder `expect://` abzulehnen. Die Prüfung ist nicht äquivalent zu „enthält der Pfad einen Wrapper“. Wenn die Eingabe die Form `phar:///path/file.phar/inner` mit drei oder mehr Schrägstrichen nach dem Schema hat, gibt `parse_url` den booleschen Wert `false` zurück, anstatt den Schema-String zurückzugeben. Der Zweig `is_string($scheme)` wird daher übersprungen, der Helfer gibt zurück, ohne eine Ausnahme auszulösen, und der Aufrufer fährt fort. Die Stream-Ebene von PHP behandelt `phar:///...` jedoch weiterhin als gültigen phar-Wrapper und öffnet die zugrunde liegende phar-Datei. Das Ergebnis ist, dass `IOFactory::load($attackerPath)` am Patch vorbeigeht und dennoch den phar-Wrapper berührt. Auf PHP 7.x reicht es bereits aus, den phar-Wrapper über `is_file` zu erreichen, damit PHP die phar-Metadaten automatisch deserialisiert, was wiederum die magischen Methoden `__wakeup` und `__destruct` eines vom Angreifer kontrollierten Objekts aufruft und vollständige RCE ermöglicht. Auf PHP 8.x wurde die automatische Metadaten-Deserialisierung für einfache Dateioperationen entfernt, sodass sich die Kette auf der PhpSpreadsheet-Ebene auf eine phar-Wrapper-Dateileseprimitive reduziert und RCE nur dann wieder auftaucht, wenn der nachgelagerte Verbraucher jemals `Phar::getMetadata` aufruft. Diese Schwachstelle ist in Version 1.30.5 behoben.

• CVE-2026-45034PoC

  PoC-Exploit für die phar://-Deserialisierungsschwachstelle in PHPSpreadsheet, der prohibitWrappers umgeht, um Remote Code Execution auf verwundbaren PHP-Anwendungen zu erreichen.