FICHE CVE

CVE-2026-78207

Publiée le 2026-08-24 · Dernière modification le 2026-10-14

🇫🇷 EN BREF

Les applications utilisant la bibliothèque `exceljs` (jusqu'à la version 4.4.0) pour traiter des feuilles de calcul sont concernées. Un attaquant peut provoquer le plantage de votre serveur ou potentiellement exécuter du code arbitraire en téléchargeant un fichier Excel spécialement conçu contenant des notes de cellule malveillantes. Cette attaque est facile à réaliser car elle ne nécessite aucune authentification ni interaction d'utilisateur, en dehors du traitement du fichier téléchargé par le système.

CVSS 4.09.3 CRITIQUE

Type de faiblesse

Pollution de prototype · CWE-1321

Publiée2026-08-24

Dernière modification2026-10-14

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Faible

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

exceljs through 4.4.0 contains a prototype pollution vulnerability in the deepMerge helper that fails to reject __proto__, constructor, or prototype keys when merging note objects. Attackers can assign parsed JSON with a malicious __proto__ property to cell notes, modifying Object.prototype and affecting all plain objects created in the process.