面向 agent 的工作区安全 Office 工具集：创建/读取 Word、创建/读取/更新 Excel、创建/读取 PowerPoint，并支持 PNG/JPG/GIF 图片排版。
在 29 个文件中有 8 项有效发现（置信度 ≥ 中）。高风险项：依赖存在已知漏洞。
1xlsx@0.18.5 GHSA-4r6h-8v6p-xvw6 (CVE-2023-30533)
pnpm-lock.yaml 显示 xlsx 版本锁定为 0.18.5，该版本存在原型污染漏洞 CVE-2023-30533，且未见任何补丁或版本覆盖。
1xlsx@0.18.5 GHSA-5pgg-2g8v-p4x9 (CVE-2024-22363)
同一 xlsx@0.18.5 依赖同时受 CVE-2024-22363（ReDoS）影响，锁文件未做版本升级或 patch 缓解。
1lodash@3.2.0 GHSA-jf85-cpcp-j695 (CVE-2019-10744) fixed in 4.17.12
给出的pnpm-lock.yaml片段仅含importers顶层直接依赖(1-41行)，未见packages区块中lodash@3.2.0的实际锁定条目，无法验证该传递依赖是否真实存在。
1image-size@1.2.1 GHSA-5p2g-fcmc-qvqq (CVE-2025-71329)
lockfile被截断未显示image-size@1.2.1具体挂靠于哪个上层依赖及是否被插件运行时代码实际调用，无法判断CVE-2025-71329是否可达。
1image-size@1.2.1 GHSA-w3rx-r6r6-pgpr (CVE-2025-71330)
同一image-size@1.2.1，命中内容仅为pnpm-lock.yaml顶部截断片段，未见其具体依赖路径或使用位置，无法确认CVE-2025-71330是否被实际触发。
1lodash@3.2.0 GHSA-35jh-r3h4-6jhm (CVE-2021-23337) fixed in 4.17.21
同上，命中引用的lockfile内容未展示lodash相关行，无法确认该CVE对应的lodash@3.2.0是否确为解析后的依赖版本。
| 漏洞 | 依赖 | 严重度 | 修复版本 | 摘要 |
|---|---|---|---|---|
| GHSA-jf85-cpcp-j695 CVE-2019-10744 | lodash@3.2.0 | 严重 | 4.17.12 | Prototype Pollution in lodash |
| GHSA-4r6h-8v6p-xvw6 CVE-2023-30533 | xlsx@0.18.5 | 高 | — | Prototype Pollution in sheetJS |
| GHSA-5pgg-2g8v-p4x9 CVE-2024-22363 | xlsx@0.18.5 | 高 | — | SheetJS Regular Expression Denial of Service (ReDoS) |
| GHSA-5p2g-fcmc-qvqq CVE-2025-71329 | image-size@1.2.1 | 高 | — | image-size: JXL and HEIF parsers allow denial of service through infinite loops |
| GHSA-w3rx-r6r6-pgpr CVE-2025-71330 | image-size@1.2.1 | 高 | — | image-size: ICNS parser allows denial of service through an infinite loop |
| GHSA-35jh-r3h4-6jhm CVE-2021-23337 | lodash@3.2.0 | 高 | 4.17.21 | Command Injection in lodash |
| GHSA-4xc9-xhrj-v574 CVE-2018-16487 | lodash@3.2.0 | 高 | 4.17.11 | Prototype Pollution in lodash |
| GHSA-f23m-r3pf-42rh CVE-2025-13465 | lodash@3.2.0 | 中 | 4.18.0 | lodash vulnerable to Prototype Pollution via array path bypass in `_.unset` and `_.omit` |
| GHSA-fvqr-27wr-82fm CVE-2018-3721 | lodash@3.2.0 | 中 | 4.17.5 | Prototype Pollution in lodash |
[](https://dshmod.com/plugins/kw78-dsh-office-tools)