XLS è un classico formato di file foglio di calcolo usato da molte librerie di elaborazione documenti per importare, modificare ed esportare dati di fogli di lavoro. In ambito di sicurezza, non è solo un tipo di file: è un formato di input che i parser devono interpretare in modo sicuro. Poiché i file XLS possono contenere strutture interne complesse, una cartella di lavoro costruita in modo malevolo può attivare bug nel codice di parsing.
Questo è importante quando le applicazioni accettano fogli di calcolo da utenti non fidati tramite upload, anteprime, strumenti di reportistica o servizi di conversione. Un parser difettoso può andare in loop indefinitamente, consumare CPU in modo eccessivo o bloccare i thread dei worker, creando una condizione di denial-of-service invece di una violazione dei dati. Chi difende i sistemi dovrebbe trattare la gestione degli XLS come elaborazione di input ostili: applicare patch alle librerie documentali, isolare il parsing in worker o container separati, applicare limiti alle risorse e convalidare tipo e dimensione del file prima dell'importazione. I timeout aiutano, ma non sostituiscono il rafforzamento o l'isolamento del parser.