CVE-2026-78209highCWE-1236

CVE-2026-78209: fallo de gravedad alta en exceljs

exceljs through 4.4.0 CSV Formula Injection via Unescaped Cell Values

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear exceljs

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

21Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 8.4epss 0.4%
exceljs through 4.4.0 fails to neutralize leading equals, plus, minus, or at signs in cell values written to CSV output. Attackers who can influence exported cell values can inject formulas that execute when the CSV file is opened in a spreadsheet application, potentially exfiltrating data or performing other malicious actions.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:H/VI:L/VA:N/SC:H/SI:L/SA:N
Productos afectados
exceljs · exceljs
CVEs relacionadas — exceljs

En el mismo producto, de las más peligrosas a las menos.

CVE-2026-78206HIGHexceljs through 4.4.0 Uncontrolled Resource Consumption via Unbounded xlsx DecompressionEPSS 0.6%CVE-2026-78207CRITICALexceljs through 4.4.0 Prototype Pollution via deepMerge Reached From Note SerializationEPSS 0.6%CVE-2026-78208HIGHexceljs through 4.4.0 Path Traversal via Unvalidated addImage filenameEPSS 0.5%