CVE-2026-118037
Publiée le 2026-10-28 · Dernière modification le 2026-10-28
Les bibliothèques Telerik Document Processing antérieures à la version 2026.3.1027 sont utilisées par les développeurs pour créer et manipuler des fichiers de feuilles de calcul par voie programmatique. La faille se situe dans les composants RadSpreadProcessing et RadSpreadStreamProcessing, qui ne limitent pas correctement la récursion et les conditions de boucle. Cela permet à un fichier XLSX ou XLS spécialement conçu de déclencher une boucle infinie ou une expression régulière inefficace.
Un attaquant peut utiliser cela pour faire planter ou figer le processus hôte, entraînant une perte totale de disponibilité du service concerné. Comme la faille est déclenchée lors du traitement du fichier, elle ne nécessite aucune authentification ni interaction de l'utilisateur, au-delà de la réception du fichier malveillant par le serveur. L'attaque est exécutée via le réseau et est relativement facile à mettre en œuvre.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
In Progress® Telerik® Document Processing Libraries prior to version 2026.3.1027, uncontrolled recursion, infinite loop, unchecked loop condition and inefficient regular expression vulnerabilities in RadSpreadProcessing and RadSpreadStreamProcessing allow an unauthenticated attacker to terminate or hang the host process via a crafted XLSX or XLS workbook or formula.