在广泛使用的 PhpSpreadsheet 扩展库中，已发现一个高危级别的服务器端请求伪造（SSRF）漏洞。该漏洞可能使攻击者利用内部网络资源，进而破坏服务器安全。
此漏洞的漏洞编号为 CVE-2025-54370，影响 phpoffice/phpspreadsheet 软件包的多个版本，其 CVSS v4.0（通用漏洞评分系统 4.0 版）评分为 8.7 分。
- 漏洞存在于 PhpSpreadsheet 的 Worksheet\Drawing::setPath 方法中，可通过恶意 HTML 图片标签触发。
- 受影响版本包括：1.30.0 之前的版本、2.0.0-2.1.11 版本、2.2.0-2.3.x 版本、3.0.0-3.9.x 版本、4.x 中 5.0.0 之前的版本。
- 需立即更新版本并对输入内容进行验证。
该漏洞位于 PhpOffice\PhpSpreadsheet\Worksheet\Drawing 类的 setPath 方法中。在该方法中，恶意 HTML 输入可能触发未授权的服务器端请求。
Positive Technologies 公司的安全研究员阿列克谢・索洛维约夫（Aleksey Solovev）在分析该扩展库 3.8.0 版本时，发现了这个零日漏洞（注：“零日漏洞” 指尚未被软件开发者发现、未发布修复补丁的安全漏洞）。
攻击的实现方式如下：攻击者构造恶意 HTML 文档，其中包含图片标签（img tag），且这些标签的 src 属性（图片源地址）指向内部网络资源。
当 PhpSpreadsheet 的 HTML 读取器处理这些文档时，该扩展库会意外地向指定的 URL 发送请求，这可能导致敏感的内部服务被暴露。
以下为演示该攻击向量的概念验证代码（Proof-of-Concept Code）：
PHPExcel 扩展库（PhpSpreadsheet）漏洞
恶意 HTML 文件包含：
PHPExcel 扩展库（PhpSpreadsheet）漏洞
该漏洞影响 PhpSpreadsheet 生态系统中的多个版本范围：
- 旧版本：1.30.0 之前的所有版本
- 2.x 系列：2.0.0 至 2.1.11 版本、2.2.0 至 2.3.x 版本
- 3.x 系列：3.0.0 至 3.9.x 版本
- 4.x 系列：4.x 中 5.0.0 之前的所有版本
已修复该漏洞的版本包括 1.30.0、2.1.12、2.4.0、3.10.0 和 5.0.0。使用受影响版本的企业应优先进行即时更新，以防漏洞被利用。
该漏洞归类为 CWE-918（服务器端请求伪造），其攻击向量无需身份验证，也无需用户交互（漏洞向量参数：AV:N/AC:L/PR:N/UI:N）。
这使得远程攻击者可通过处理用户提供的 HTML 内容的网络可访问应用程序，对该漏洞进行利用。
其他安全隐患还包括：受漏洞影响的代码中，file_exists 方法可能引发 PHAR 反序列化攻击（注：PHAR 是 PHP 归档文件格式，攻击者可通过构造恶意 PHAR 文件触发反序列化漏洞，执行恶意代码），这在同一组件中形成了多个攻击面。
使用 PhpSpreadsheet 处理 HTML 文档的企业，在部署安全更新的同时，还应实施输入验证和网络分段措施，作为额外的防护手段。
- PhpSpreadsheet：一款用于读取、写入和操作 Excel 等电子表格文件的 PHP 扩展库，广泛应用于需要处理表格数据的 Web 应用中，是旧版 PHPExcel 扩展库的继任者。
- SSRF（Server-Side Request Forgery，服务器端请求伪造）：一种 Web 安全漏洞，攻击者可通过诱导服务器向指定地址发送请求，实现访问内部资源、探测网络结构、攻击内网服务等恶意操作。
- CVSS（Common Vulnerability Scoring System，通用漏洞评分系统）：用于评估软件漏洞严重程度的行业标准，评分范围为 0-10 分，分数越高漏洞风险越高（通常 8.0-10.0 为严重，7.0-7.9 为高危，4.0-6.9 为中危，0.1-3.9 为低危）。
- PHAR 反序列化攻击：利用 PHP 归档文件（.phar）的序列化特性，通过构造恶意 PHAR 文件，在文件被特定函数（如 file_exists、file_get_contents）处理时触发反序列化，执行其中隐藏的恶意代码。
版权声明·<<<---红客联盟--->>>·免责声明
1. 本版块文章内容及资料部分来源于网络，不代表本站观点，不对其真实性负责，也不构成任何建议。
2. 部分内容由网友自主投稿、编辑整理上传，本站仅提供交流平台，不为该类内容的版权负责。
3. 本版块提供的信息仅作参考，不保证信息的准确性、有效性、及时性和完整性。
4. 若您发现本版块有侵犯您知识产权的内容，请及时与我们联系，我们会尽快修改或删除。
5. 使用者违规、不可抗力（如黑客攻击）或第三方擅自转载引发的争议，联盟不承担责任。
6. 联盟可修订本声明，官网发布即生效，继续使用视为接受新条款。
联系我们：admin@chnhonker.com
PHPExcel 扩展库（PhpSpreadsheet）漏洞