CVE-2023-7101
Publiée le 2023-12-24 · Dernière modification le 2026-06-17 KEV — activement exploitée
Les systèmes utilisant la version 0.65 du module Perl `Spreadsheet::ParseExcel` sont concernés. Un attaquant peut exécuter du code arbitraire sur votre serveur en incitant un utilisateur ou un administrateur système à ouvrir un fichier Excel spécialement conçu. Cela nécessite un accès local aux fichiers et une interaction de l'utilisateur, mais aucune authentification ni privilège particulier n'est requis pour déclencher l'exploitation.
ACTIVEMENT EXPLOITÉE (KEV DE LA CISA)
Spreadsheet::ParseExcel Remote Code Execution Vulnerability — Spreadsheet::ParseExcel contains a remote code execution vulnerability due to passing unvalidated input from a file into a string-type “eval”. Specifically, the issue stems from the evaluation of Number format strings within the Excel parsing logic. Ajoutée au catalogue KEV de la CISA le 2024-01-02. Date limite de correction (agences fédérales américaines) : 2024-01-23.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
- mandiant-cve@google.com
- mandiant-cve@google.com
- mandiant-cve@google.com
- mandiant-cve@google.com
- mandiant-cve@google.com
- mandiant-cve@google.com
- mandiant-cve@google.com
- mandiant-cve@google.com
- mandiant-cve@google.com
- mandiant-cve@google.com
- mandiant-cve@google.com
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
- 134c704f-9b21-4f2e-91b3-4a467353bcc0
Description officielle du NVD (en anglais)
Spreadsheet::ParseExcel version 0.65 is a Perl module used for parsing Excel files. Spreadsheet::ParseExcel is vulnerable to an arbitrary code execution (ACE) vulnerability due to passing unvalidated input from a file into a string-type “eval”. Specifically, the issue stems from the evaluation of Number format strings (not to be confused with printf-style format strings) within the Excel parsing logic.