CVE-2026-107214

Excelize Decrypt: unrecoverable panics on malformed OLE/CFB encrypted workbooks

CVSS 3.1High

7.5/ 10.0

Опубликовано

7 октября 2026 г.

Обновлено

7 октября 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ПАТЧ ДОСТУПЕН: ВЕРСИЯ 2.11.1-0.20260915055537-22f76f9acb94

Обновить библиотеку Excelize до версии 2.11.1 или выше.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Неперехваченная паника среды выполнения Go в библиотеке Excelize при обработке некорректных зашифрованных OLE/CFB книг Excel.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

В версиях от 2.3.1 до 2.11.0 диспетчер дешифрования передает контролируемые пользователем потоки EncryptionInfo и EncryptedPackage в процедуры standardDecrypt и agileDecrypt без предварительной валидации их структуры. Срезы, индексация и выделение памяти под управлением входных данных вызывают unrecovered panics вместо возврата штатной ошибки.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Аварийное завершение процесса Go-приложения (DoS) при открытии специально сформированного OLE-файла.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

qax-osexcelize

>= 2.3.1➔Патч не выпущен

——

>= 2.3.1➔Патч не выпущен

——

>= 0➔Fix: 2.11.1-0.20260915055537-22f76f9acb94

——

>= 2.3.1➔Fix: 2.11.1-0.20260915055537-22f76f9acb94

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (3)

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2026-107214: Excelize Decrypt: unrecoverable panics on malformed OLE/CFB encrypted workbooks. URL: https://cve.futuretools.ru/cve/CVE-2026-107214

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2026_107214,
  title = {{CVE-2026-107214: Excelize Decrypt: unrecoverable panics on malformed OLE/CFB encrypted workbooks}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-107214}},
  note = {Оперативный инженерный анализ киберугроз}
}