Я не один из разработчиков phpspreadsheet, но у меня есть некоторые замечания о том, как он использует функцию md5.
ИМО, сообщенные уязвимости являются ложными срабатываниями.Это правда, что использование md5() для защиты данных (особенно паролей) не подходит.Но есть и другие варианты использования хеш-значения помимо безопасности. Кажется, сканирование кода предполагает, что md5 используется в криптографических целях.Это не.
Просто взгляните на исходный код, чтобы увидеть, где используется md5().Прежде всего, он используется для создания хэша объектов с несколькими значениями свойств, чтобы можно было легко сравнивать объекты и все значения их свойств.Я не нашел никакого использования этого, которое включало бы пароль или другую связанную с безопасностью задачу.
Объекты стиля (т. Е. Границы, цвета, выравнивание и т. Д.) Являются общей целью хеширования md5.Рассмотрим «граничный» объект.Гораздо проще сравнивать хэш комбинированных значений сверху, справа, снизу, слева и диагонали, чем просматривать свойства по одному для сравнения значений с тем же свойством в другом объекте.
Все, что сказаноЯ не утверждаю, что phpspreadsheet является криптографически безопасным или что каждое использование md5 подходит.Я не проверял каждое использование md5.Но я думаю, что есть основания утверждать, что отчет не совсем точен.