远程 Debian 10 主机上安装的多个程序包受到 dla-3723 公告中提及的多个漏洞影响。

  - 用于 Perl 的 Spreadsheet: : ParseXLSX 程序包（版本低于 0.28）在解析构建的 XLSX 文档期间可能遇到内存不足的情况。之所以发生这种情况，是因为在部署 memoize 时未对合并的单元格施加适当的限制。(CVE-2024-22368)

  - 用于 Perl 的 Spreadsheet: : ParseXLSX 程序包（版本低于 0.30）允许 XXE 攻击，因为忽略了使用 XML: : Twig 的 no_xxe 选项。(CVE-2024-23525)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Debian dla-3723：libspreadsheet-parsexlsx-perl - 安全更新

medium Nessus 插件 ID 189722

版本 1.0