Как с вами связаться

Введите сообщение

Войти

Как с вами связаться

Введите сообщение

Войти
Аватар сообщества ПОЗИТИВ [новости]

ПОЗИТИВ [новости]

НОВОСТИ АКЦИЙ РФ

Эксперт Positive Technologies помог устранить уязвимость в библиотеке PHPOffice

2 821
Эксперт Positive Technologies помог устранить уязвимость в библиотеке PHPOffice

Набор библиотек PHPOffice предоставляет инструменты для работы с таблицами, текстовыми документами и презентациями в форматах Microsoft Office и OpenDocument. Эксперт PT SWARM Александр Журнаков помог устранить уязвимость в библиотеке Math, используемой для работы с математическими формулами. Это предотвратило потенциальные угрозы для библиотеки PHPWord, которая предназначена для чтения и генерации текстовых документов на PHP. До исправления недостаток мог дать злоумышленнику возможность читать локальные файлы или выполнять запросы от имени сервера. Разработчик проекта был оперативно уведомлен о проблеме и выпустил обновления. PHPWord пользуется популярностью среди разработчиков. В июне 2025 года 7,4 тысячи пользователей добавили библиотеку в избранное, а на GitHub у нее 2,7 тысячи копий. В свою очередь, библиотека Math встроена в PHPWord и редко используется отдельно. Ее сохранили 29 пользователей, а репозиторий скопировали всего четыре раза. Уязвимость CVE-2025-48882, обнаруженная в Math 0.2.0, была оценена как крайне опасная — 8,7 балла по шкале CVSS 4.0. Из-за связи библиотек уязвимость присутствовала и в PHPWord начиная с версии 1.2.0-beta.1. Злоумышленник мог бы получить доступ к содержимому конфигурационных файлов приложений, использующих дефектные библиотеки. Для устранения уязвимости необходимо как можно скорее установить Math 0.3.0. Чтобы защитить связанную библиотеку, разработчики обновили зависимость Math в PHPWord и выпустили версию 1.4.0. Компании, не имеющие возможности загрузить патч, могут настроить запрет на использование файлов в формате ODF1. OpenDocument Format (ODF) — это открытый формат для хранения и обмена файлами, включая текстовые документы, электронные таблицы и презентации. Он использует XML-файлы, сжатые в ZIP-архив. По словам Александра, ущерб от успешной эксплуатации уязвимости зависел бы от возможностей приложения. Например, если бы злоумышленник получил доступ к сервису для конвертации документов в PDF, он вряд ли смог бы серьезно навредить организации. Такие уязвимости можно обнаружить на стадии разработки с помощью инструментов, таких как PT Application Inspector. Для мониторинга безопасности инфраструктуры используйте MaxPatrol VM и динамические анализаторы кода, например PT BlackBox. Чтобы предотвратить эксплуатацию уязвимостей, применяйте межсетевые экраны уровня веб-приложений, такие как PT Application Firewall или его облачная версия PT Cloud Application Firewall. Для обнаружения вредоносных файлов в сети используйте PT Sandbox, а для анализа следующих шагов атаки — продукты класса NTA, такие как PT Network Attack Discovery, или средства анализа сетевого трафика, например PT NGFW. Источник: www.ptsecurity.com

Войти

Войдите, чтобы оставлять комментарии

Аватар пользователя 'АДМИНИСТРАТОР'

АДМИНИСТРАТОР

000.png

[mondiara.com](https://mondiara.com/) — создаём культуру инвестирования на Российском Фондовом рынке. Присоединяйся!

Другие новости сообщества / НОВОСТИ АКЦИЙ РФ

Вы уверены, что хотите выйти из аккаунта?