CVE-2026-78207: Kritisk fejl i exceljs-hardened

CVE-2026-78207 er en prototype pollution-sårbarhed, en fejl hvor angribere kan tilføje eller ændre egenskaber på JavaScripts grundlæggende objekt-skabelon (Object.prototype), i biblioteket exceljs-hardened før version 5.0.0. Fejlen sidder i en funktion kaldet deepMerge, som bruges til at samle data, når regnearket læser noter i celler. Funktionen tjekker ikke for de særlige nøgler __proto__, constructor og prototype. Sender man en note med disse nøgler, kan man skrive direkte ind i Object.prototype, som alle andre objekter i programmet arver fra. Det betyder, at én ondsindet Excel-fil kan ændre hele applikationens opførsel, ikke kun det konkrete regneark.

Alle virksomheder, der bruger Node.js-biblioteket exceljs-hardened i version lavere end 5.0.0 til at generere, læse eller behandle Excel-filer. Det gælder typisk webshops, økonomisystemer, HR-systemer og selvbetjeningsløsninger, hvor brugere kan uploade regneark eller hvor systemet automatisk eksporterer data til Excel. Er funktionaliteten tilgængelig for eksterne brugere uden login, er eksponeringen størst.

En angriber kan uploade eller sende en Excel-fil med en manipuleret celle-note. Når filen behandles af den sårbare kode, kan angriberen ændre egenskaber, som hele applikationen deler, for eksempel adgangskontrol, standardindstillinger eller valideringslogik. I praksis kan det føre til, at angriberen omgår login, læser data, de ikke må se, eller får serveren til at opføre sig anderledes end tiltænkt. Fortrolighed og integritet er hårdt ramt, mens driftsstabiliteten kan blive nedsat, men ikke nødvendigvis lammet.

CVSS-score er 9,4 ud af 10, hvilket er kritisk. Sårbarheden kan udnyttes over netværket, kræver ikke login og kræver ikke, at en bruger klikker på noget eller udfører en handling. Det gør angrebet nemt at automatisere. Der er ikke fundet spor af aktiv udnyttelse på offentliggørelsestidspunktet, men den lave kompleksitet og manglen på krav om rettigheder betyder, at det kan ændre sig hurtigt, når sårbarheden bliver kendt.

Prioritér disse skridt, så I lukker hullet og begrænser skaden:

1. Opdatér exceljs-hardened til version 5.0.0 eller nyere i alle applikationer og tjenester, der bruger biblioteket.
2. Gennemgå jeres kodebase for steder, hvor pakken bruges til at læse Excel-filer med celle-noter fra eksterne kilder, og bekræft at opdateringen dækker dem alle.
3. Gennemgå logs for usædvanlige Excel-uploads eller fejl i forbindelse med regnearksbehandling forud for offentliggørelsen.
4. Genstart berørte processer efter opdateringen, så eventuelle allerede forurenede objekter i hukommelsen bliver ryddet.
5. Overvej at rotere følsomme nøgler og hemmeligheder, hvis systemet har været tilgængeligt for eksterne uploads uden opdatering.
6. Kontakt en ekstern sikkerhedsrådgiver, hvis I ikke selv kan verificere, hvor pakken bruges, eller hvis I finder tegn på misbrug.