JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-024407 Excelizeは、Microsoft Excelのスプレッドシートを読み書きするためのGo言語ライブラリです。バージョン2.11.0以前では、github.com/xuri/excelize/v2のcheckSheet()関数が攻撃者に制御される＜row r="N"＞のXML属性値を、Excelの行数制限（TotalRows = 1,048,576）に対して検証せずに、そのままmake([]xlsxRow, row)関数の長さ引数として使用していました。この脆弱性により、特別に細工されたXLSXファイルで以下の2種類のサービス拒否攻撃が発生します。(A) r=2147483647のときに約16GBのメモリアロケーションを試みることでメモリ不足によりプロセスが強制終了する、(B) r=-1のときにスライスの範囲外アクセスによるランタイムパニックが発生します。攻撃者が作成したXLSXファイルを開きGetCellValueを呼び出すすべてのサービスが影響を受け、認証は不要です。この問題はバージョン2.11.0で修正されました。 cpe:/a:excelize:excelize https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-024407.html Common Vulnerabilities and Exposures (CVE) CVE-2026-54063 https://www.cve.org/CVERecord?id=CVE-2026-54063 National Vulnerability Database (NVD) CVE-2026-54063 https://nvd.nist.gov/vuln/detail/CVE-2026-54063 GitHub Unbounded Row Index Allocation in Worksheet Parser (checkSheet OOM/Panic DoS) Advisory qax-os/excelize GitHub https://github.com/qax-os/excelize/security/advisories/GHSA-h69g-9hx6-f3v4 JVNDB CWE-770 https://cwe.mitre.org/data/definitions/770.html 関連文書 Release v2.11.0 qax-os/excelize GitHub https://github.com/qax-os/excelize/releases/tag/v2.11.0 2026-07-21T10:43:13+09:00 2026-07-21T10:43:13+09:00