Debian publicó el 13 de noviembre una actualización de seguridad para libspreadsheet-xlsx-perl, un módulo de Perl que lee archivos de Microsoft Excel 2007. El aviso advierte de que documentos preparados especialmente podrían provocar una denegación de servicio o, potencialmente, la ejecución de código arbitrario. La corrección está disponible para Debian 13 «Trixie» en la versión 0.20-0+deb13u1 del paquete. (Aviso DSA-6627-1)
Qué se sabe del fallo
El rastreador de seguridad de Debian vincula el aviso con CVE-2026-115943 y describe un fallo de ejecución de código: versiones de Spreadsheet::XLSX anteriores a 0.19 evaluaban como código Perl las condiciones incluidas en ciertos formatos numéricos de una hoja de cálculo. Como esas condiciones y los valores de las celdas proceden del libro, un archivo manipulado podía ejecutar código al procesarse. El historial del proyecto confirma que la versión 0.19 sustituyó esa evaluación por comparaciones numéricas validadas. (Ficha de CVE-2026-115943 en Debian, cambio del proyecto)
Debian también advierte de posibles denegaciones de servicio al procesar documentos manipulados. Aunque el aviso no detalla ese impacto, el historial de Spreadsheet::XLSX indica que la versión 0.20 añadió límites y validaciones para evitar un consumo excesivo de memoria o CPU. El riesgo está en procesar esos archivos con el módulo, no en tenerlo instalado.
Actualización para Debian 13
Debian recomienda actualizar libspreadsheet-xlsx-perl. Para Trixie, el rastreador identifica como corregida la versión 0.20-0+deb13u1; también indica que 0.18-1 está afectada. Quienes procesen archivos XLSX con este módulo deberían comprobar la versión instalada y aplicar la actualización que Debian ofrece para su sistema. Hasta entonces, evitar el procesamiento de documentos no confiables con programas que dependan del módulo es una precaución temporal, no una reparación del fallo.
