CVE-2014-2054
Publiée le 2014-06-04 · Dernière modification le 2026-06-17
Les serveurs utilisant PHPExcel (y compris les anciennes versions d'ownCloud) sont vulnérables à une attaque par entité externe XML (XXE). Un attaquant distant non authentifié peut exploiter cette faille en téléchargeant un fichier XML spécialement conçu pour lire des fichiers sensibles sur votre serveur ou pour provoquer le plantage du système. Comme l'attaque ne nécessite aucun accès préalable ni interaction de l'utilisateur, elle est relativement facile à exécuter via un réseau.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
PHPExcel before 1.8.0, as used in ownCloud Server before 5.0.15 and 6.0.x before 6.0.2, does not disable external entity loading in libxml, which allows remote attackers to read arbitrary files, cause a denial of service, or possibly have other impact via an XML External Entity (XXE) attack.