Bundled expat 2.6.4 (xlsxreader) is missing upstream security fixes
Los mantenedores suelen responder en 4 días
Nadie ha tomado este issue todavía.
Evaluación
- Dificultad
- 4/5
- Tiempo estimado
- 3-5 días
- Aptitud para principiantes
- 48/100
Línea de trabajo
Start by inspecting the depends/libexpat submodule revision and how xlsxreader uses xlsxio to pass sheet XML to expat; the issue identifies both entry points. Check the bundled expat version in the Linux release and compare it with the upstream fixes listed here. Done means updating the dependency to expat 2.9.0 or later and confirming the bundled xlsxreader uses that version.
Escrito por el modelo de indexación a partir del texto del issue.
Descripción
Hi,
depends/libexpat points to DFHack/libexpat e3ea446, whose upstream base is libexpat 2691aff (expat 2.6.4, November 2024). The 53.16-r3 Linux release ships this code in hack/plugins/xlsxreader.plug.so, which reports "expat_2.6.4". The submodule on develop is the same.
xlsxreader opens .xlsx files through xlsxio, which feeds the sheet XML to expat with XML_ParseBuffer, so expat parses whatever spreadsheet a user loads, for example a quickfort blueprint downloaded from elsewhere.
expat releases since 2.6.4 fix issues that a crafted document can reach on this path, including:
- CVE-2024-8176, stack overflow from chaining many entities (fixed in 2.7.0)
- CVE-2025-59375, large memory allocations from a small document (2.7.2)
- CVE-2026-41080, too little salt entropy in the hash flooding protection (2.8.0)
- CVE-2026-45186, quadratic time in attribute name collision checks (2.8.1)
- CVE-2026-66046, quadratic time in attribute CDATA lookups (2.8.4)
- CVE-2026-93990, malformed UTF-16 accepted (2.8.5)
Later releases also add integer overflow checks for very large inputs. Updating depends/libexpat to expat 2.9.0 or later would pick all of these up. They are already public, and I have not tried to trigger any of them in DFHack.
- Lenguaje dominante
- C++
- Estrellas
- 2.1k
- Forks
- 509
- Merge medio
- 3 d 17 h
- PR fusionados (30 d)
- 13
Preparar el entorno
- Sin Dockerfile ni archivo de Docker Compose
- Tiene una plantilla de pull request
- Leer la guía de contribución
Primeros pasos
- Lee el issue completo y luego la guía de contribución del proyecto.
- Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
- Haz un fork del repositorio y trabaja en una rama.
- Abre un pull request que haga referencia al número del issue.
Más de DFHack/dfhack
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 78/100
Los mantenedores suelen responder en 4 días
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 66/100
DFHack/dfhack#5853 · 1 comentario ·
Los mantenedores suelen responder en 4 días
-
labormanager (modern mode): mismatch probe enables unmanaged stoneworking labors on idle dwarves, bypassing work detailsPosiblemente ocupada @ab9rf la tomó hoy. Abierto
Dificultad 3/5 1-2 días Aptitud para principiantes 57/100
Los mantenedores suelen responder en 4 días
-
Dificultad 5/5 Más de una semana Aptitud para principiantes 35/100
Los mantenedores suelen responder en 4 días
-
Dificultad 5/5 Más de una semana Aptitud para principiantes 25/100
Los mantenedores suelen responder en 4 días
Todos los issues de DFHack/dfhack
Issues similares
-
Dificultad 1/5 Menos de una hora Aptitud para principiantes 85/100
objectionary/game-of-life#74 ·
-
bug fmt low priority
Dificultad 2/5 1-3 horas Aptitud para principiantes 82/100
Los mantenedores suelen responder en 1 día
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 68/100
qbittorrent/qBittorrent#25176 ·
Los mantenedores suelen responder en 2 días
-
Dificultad 1/5 Menos de una hora Aptitud para principiantes 85/100
lxqt/lxqt-powermanagement#500 · 1 comentario ·
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 65/100
scp-fs2open/fs2open.github.com#7965 ·
Los mantenedores suelen responder en 1 día