Vulnerabilidad en PHPSpreadsheet (CVE-2024-45291)

PHPSpreadsheet es una librería PHP pura para leer y escribir archivos de hojas de cálculo. Un atacante puede construir un archivo XLSX que vincule imágenes desde rutas arbitrarias. Cuando se ha habilitado la incrustación de imágenes en el escritor HTML con `$writer->setEmbedImages(true);`, esos archivos se incluirán en la salida como URL `data:`, independientemente del tipo de archivo. También se pueden usar URL para incrustar, lo que da como resultado una vulnerabilidad de Server-Side Request Forgery. Cuando se ha habilitado la incrustación de imágenes, un atacante puede leer archivos arbitrarios en el servidor y realizar solicitudes HTTP GET arbitrarias. Tenga en cuenta que se puede utilizar cualquier contenedor de protocolo PHP, lo que significa que si, por ejemplo, se habilita el contenedor `expect://`, también es posible la ejecución remota de código. Este problema se ha solucionado en las versiones de lanzamiento 1.29.2, 2.1.1 y 2.3.0. Se recomienda a todos los usuarios que actualicen. No se conocen workarounds para esta vulnerabilidad.