CVE-2026-86020 in Part-DB
Zusammenfassung
von VulDB • 23.10.2026
Part-DB ist ein Open-Source-Inventarverwaltungssystem für elektronische Komponenten. Vor Version 2.13.2 enthält Part-DB eine Spreadsheet Formula Injection-Schwachstelle im Workflow zum Importieren und Exportieren von Teilen. Ein authentifizierter Benutzer mit der Berechtigung, Teile zu importieren, kann eine CSV-Datei mit formelpräfixierten Werten (z. B. =1+1) in benutzerkontrollierte Teilfelder importieren. Wenn das betroffene Teil später als XLSX-Spreadsheet exportiert wird, schreibt Part-DB den vom Angreifer kontrollierten Wert unter Verwendung der setCellValue()-Methode von PhpSpreadsheet, ohne Spreadsheet-Formelzeichen zu neutralisieren. Infolgedessen enthält die exportierte XLSX-Datei eine ausführbare Spreadsheet-Formelzelle anstelle eines reinen Textwerts. Wenn ein anderer Benutzer das Spreadsheet exportiert und öffnet, kann die Formel von dessen Spreadsheet-Software ausgewertet werden. Dieses Problem wurde in Version 2.13.2 gepatcht.
If you want to get best quality of vulnerability data, you may have to visit VulDB.