« Volver al listado

CVE-2026-107216

Estado: AnalizadaAlta (7.5)—

Excelize es una biblioteca en lenguaje Go para leer y escribir hojas de cálculo de Microsoft Excel. Desde la 2.8.1 hasta la 2.11.0, ANCHORARRAY llama de forma recursiva a la función exportada CalcCellValue, creando un nuevo contexto de cálculo en cada ciclo y eludiendo los controles de cálculos en curso y de iteración. ANCHORARRAY llama a CalcCellValue en lugar de a cellResolver, por lo que cada salto recursivo recibe un nuevo calcContext y pierde el estado del ciclo.

Leer descripción completaMostrar menos

Cuando se evalúan fórmulas de matriz dinámica que se referencian mutuamente, directamente o a través de API que evalúan fórmulas, cada salto de la recursión restablece el presupuesto de ciclos e impide que las cachés basadas en la finalización rompan el ciclo, lo que permite a un atacante provocar un desbordamiento de pila fatal de Go y abortar el proceso. No hay ninguna versión corregida disponible en el momento de esta revisión.

Traducción automática del texto original de NVD (en inglés).

CVSS

Probabilidad de explotación (EPSS)

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

🎯 Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

Vector CVSS AV:N/AC:L/PR:N/UI:N indica explotación remota sin privilegios (T1190). La vulnerabilidad permite stack overflow fatal en el proceso Go mediante fórmulas Excel recursivas, causando denegación de servicio por consumo de recursos (T1499.004).

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

🛡️ Mitigaciones ATT&CK que cubren estas técnicas

Filter Network TrafficVulnerability ScanningPrivileged Account ManagementNetwork SegmentationLimit Access to Resource Over NetworkApplication Isolation and Sandboxing

Tecnologías afectadas (1)

Excelize — Excelize

CWE

Referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2026-107216",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2026-107216",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "none"
            },
            {
              "automatable": "yes"
            },
            {
              "technicalImpact": "partial"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2026-10-07T18:50:55.568606Z"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "security-advisories@github.com",
        "cvssData": {
          "scope": "UNCHANGED",
          "version": "3.1",
          "baseScore": 7.5,
          "attackVector": "NETWORK",
          "baseSeverity": "HIGH",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H",
          "integrityImpact": "NONE",
          "userInteraction": "NONE",
          "attackComplexity": "LOW",
          "availabilityImpact": "HIGH",
          "privilegesRequired": "NONE",
          "confidentialityImpact": "NONE"
        },
        "impactScore": 3.6,
        "exploitabilityScore": 3.9
      }
    ]
  },
  "affected": [
    {
      "source": "security-advisories@github.com",
      "affectedData": [
        {
          "vendor": "qax-os",
          "product": "excelize",
          "versions": [
            {
              "status": "affected",
              "version": ">= 2.8.1, <= 2.11.0"
            }
          ]
        }
      ]
    }
  ],
  "published": "2026-10-07T18:17:19.400",
  "references": [
    {
      "url": "https://github.com/qax-os/excelize/commit/ea12859e43c64d498ecf839263c5f917391f3316",
      "tags": [
        "Patch"
      ],
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/qax-os/excelize/security/advisories/GHSA-wp2g-vpjj-g53r",
      "tags": [
        "Exploit",
        "Vendor Advisory"
      ],
      "source": "security-advisories@github.com"
    }
  ],
  "vulnStatus": "Analyzed",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "security-advisories@github.com",
      "description": [
        {
          "lang": "en",
          "value": "CWE-674"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "Excelize is a Go language library for reading and writing Microsoft Excel spreadsheets. From 2.8.1 to 2.11.0, ANCHORARRAY recursively calls the exported CalcCellValue function, creating a fresh calculation context at each cycle and bypassing in-flight and iteration controls. ANCHORARRAY calls CalcCellValue instead of cellResolver, so each recursive hop receives a new calcContext and loses cycle state. When mutually referencing dynamic-array formulas are evaluated directly or through formula-evaluating APIs, each recursion hop resets the cycle budget and prevents completion-based caches from breaking the cycle, allowing an attacker to cause a fatal Go stack overflow and abort the process. No fixed version is available as of this review."
    }
  ],
  "lastModified": "2026-10-13T14:23:43.183",
  "configurations": [
    {
      "nodes": [
        {
          "negate": false,
          "cpeMatch": [
            {
              "criteria": "cpe:2.3:a:excelize:excelize:*:*:*:*:*:go:*:*",
              "vulnerable": true,
              "matchCriteriaId": "EC7558E8-0FE7-4960-9946-5E5189D0ADE3",
              "versionEndIncluding": "2.11.0",
              "versionStartIncluding": "2.8.1"
            }
          ],
          "operator": "OR"
        }
      ]
    }
  ],
  "sourceIdentifier": "security-advisories@github.com"
}