для Go-библиотеки Excelize опубликовали описание отказа в обслуживании с оценкой 7,5. Если первые восемь байт совпадают с сигнатурой OLE, библиотека начинает обработку шифрованного файла, даже когда пароль не задан. Число итераций выработки ключа берётся из поля
spinCount без верхней границы.в тесте файл на 3 072 байта со значением 100 000 000 занимал вызов
OpenFile на 58,65 секунды в версии 2.11.0. Затем библиотека возвращала ошибку формата. На этом пути нет context.Context: таймаут HTTP-запроса сам по себе не прекращает вычисления.уязвимы версии с 2.3.1 по 2.11.0, исправленной версии в уведомлении нет. Пример с обычным
spinCount 100 000 выполнялся за 61 миллисекунду. Ограничения проверки входного файла и способы изолировать обработку загрузок разобрали на сайте.