CVE-2026-45034

Résumé

# PhpSpreadsheet — Contournement de la validation des wrappers (CVE-2026-34084) PhpSpreadsheet est une bibliothèque PHP pure permettant de lire et d'écrire des fichiers de feuilles de calcul. Avant la version 1.30.5, la CVE-2026-34084 a été corrigée par le helper `File::prohibitWrappers`. Ce helper appelle `parse_url($filename, PHP_URL_SCHEME)` puis vérifie `is_string($scheme) && strlen($scheme) > 1` afin de rejeter les wrappers de flux tels que `phar://`, `php://`, `data://` ou `expect://`. Cette vérification n'est pas équivalente à « le chemin contient-il un wrapper ». Lorsque l'entrée a la forme `phar:///path/file.phar/inner` avec trois barres obliques ou plus après le schéma, `parse_url` renvoie `false` au lieu de renvoyer la chaîne du schéma. La branche `is_string($scheme)` est donc ignorée, le helper retourne sans lever d'exception, et l'appelant poursuit son exécution. La couche de flux de PHP, quant à elle, traite toujours `phar:///...` comme un wrapper phar valide et ouvre le fichier phar sous-jacent. Il en résulte que `IOFactory::load($attackerPath)` contourne le correctif et touche toujours le wrapper phar. Sur PHP 7.x, le simple fait d'atteindre le wrapper phar via `is_file` suffit pour que PHP désérialise automatiquement les métadonnées phar, ce qui invoque à son tour les méthodes magiques `__wakeup` et `__destruct` d'un objet contrôlé par l'attaquant et permet une exécution de code à distance (RCE) complète. Sur PHP 8.x, la désérialisation automatique des métadonnées pour les opérations de fichiers simples a été supprimée, de sorte que la chaîne d'exploitation au niveau de PhpSpreadsheet se réduit à une primitive de lecture de fichier via le wrapper phar, et la RCE ne réapparaît que si le consommateur en aval appelle un jour `Phar::getMetadata`. Cette vulnérabilité est corrigée dans la version 1.30.5.

• CVE-2026-45034PoC

  Exploit PoC pour la vulnérabilité de désérialisation phar:// de PHPSpreadsheet, contournant prohibitWrappers pour parvenir à une exécution de code à distance sur des applications PHP vulnérables.