CVE-2026-45034

Резюме

PhpSpreadsheet — это чистая PHP-библиотека для чтения и записи файлов электронных таблиц. До версии 1.30.5 уязвимость CVE-2026-34084 была исправлена с помощью хелпера File::prohibitWrappers. Хелпер вызывает parse_url($filename, PHP_URL_SCHEME), а затем проверяет is_string($scheme) && strlen($scheme) > 1, чтобы отклонить stream-обёртки, такие как phar://, php://, data:// или expect://. Эта проверка не эквивалентна проверке «содержит ли путь обёртку». Когда входные данные имеют форму phar:///path/file.phar/inner с тремя или более слэшами после схемы, parse_url возвращает boolean false вместо строки схемы. Ветка is_string($scheme) пропускается, хелпер возвращается без исключения, и вызывающий код продолжает работу. Однако потоковый слой PHP по-прежнему обрабатывает phar:///... как допустимую phar-обёртку и открывает лежащий в основе phar-файл. В результате IOFactory::load($attackerPath) обходит исправление и всё равно обращается к phar-обёртке. На PHP 7.x простого обращения к phar-обёртке через is_file достаточно, чтобы PHP автоматически десериализовал метаданные phar, что, в свою очередь, вызывает магические методы __wakeup и __destruct объекта, контролируемого атакующим, и даёт полный RCE. На PHP 8.x автоматическая десериализация метаданных для обычных файловых операций была удалена, поэтому цепочка на уровне PhpSpreadsheet сводится к примитиву чтения файла через phar-обёртку, и RCE снова проявляется только в том случае, если нижестоящий потребитель когда-либо вызывает Phar::getMetadata. Эта уязвимость исправлена в версии 1.30.5.

• CVE-2026-45034PoC

  PoC-эксплойт для уязвимости десериализации через phar:// в PHPSpreadsheet, обходящий prohibitWrappers для достижения удалённого выполнения кода на уязвимых PHP-приложениях.