CVE-2026-78208highCWE-73

CVE-2026-78208: fallo de gravedad alta en exceljs

exceljs through 4.4.0 Path Traversal via Unvalidated addImage filename

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear exceljs

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

21Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 8.7epss 0.5%
exceljs through 4.4.0 contains a path traversal vulnerability in the Workbook.addImage() function that fails to validate file paths. Attackers can supply arbitrary file paths to read any file accessible to the Node.js process and embed it in the generated workbook.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
Productos afectados
exceljs · exceljs
CVEs relacionadas — exceljs

En el mismo producto, de las más peligrosas a las menos.

CVE-2026-78206HIGHexceljs through 4.4.0 Uncontrolled Resource Consumption via Unbounded xlsx DecompressionEPSS 0.6%CVE-2026-78207CRITICALexceljs through 4.4.0 Prototype Pollution via deepMerge Reached From Note SerializationEPSS 0.6%CVE-2026-78209HIGHexceljs through 4.4.0 CSV Formula Injection via Unescaped Cell ValuesEPSS 0.4%