CVE-2026-55600 in Part-DB
Résumé
par VulDB • 23/10/2026
Part-DB est un système de gestion d'inventaire open source pour les composants électroniques. Avant la version 2.12.2, Part-DB affiche les messages de validation des nomenclatures (BOM) en utilisant le filtre Twig `|raw`. Ces messages incluent des espaces réservés traduits qui sont remplis avec des noms de pièces contrôlés par l'utilisateur. Un utilisateur ayant la capacité de modifier le nom d'une pièce peut y stocker du balisage HTML. Lorsqu'un autre utilisateur importe un fichier CSV BOM faisant référence à cet ID de pièce, le nom malveillant est rendu sous forme de HTML sur la page de validation des résultats BOM de la victime. Cela entraîne une vulnérabilité de type injection HTML persistante (stored) entre utilisateurs. L'exécution du JavaScript semble être bloquée par la politique actuelle en matière de sécurité du contenu (CSP), mais des liens HTML arbitraires, des formulaires, des images et des éléments d'interface utilisateur basés sur le CSS peuvent toujours être injectés dans une page Part-DB de confiance. Ce problème a été corrigé dans la version 2.12.2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.