CVE-2026-86020 in Part-DB
Riassunto
di VulDB • 23/10/2026
Part-DB è un sistema open source di gestione dell'inventario per componenti elettronici. Prima della versione 2.13.2, Part-DB presenta una vulnerabilità di injection di formule nei fogli di calcolo nel flusso di lavoro di importazione/esportazione delle parti. Un utente autenticato con i permessi necessari per importare le parti può caricare un file CSV contenente valori prefissati da formula, come =1+1, in campi delle parti controllati dall'utente. Quando la parte interessata viene successivamente esportata come foglio di calcolo XLSX, Part-DB scrive il valore controllato dall'attaccante utilizzando il metodo setCellValue() di PhpSpreadsheet senza neutralizzare i caratteri speciali per le formule dei fogli di calcolo. Di conseguenza, il file XLSX esportato contiene una cella con formula eseguibile anziché un semplice testo. Se un altro utente esporta e apre il foglio di calcolo, la formula potrebbe essere valutata dal software del foglio di calcolo utilizzato. Questo problema è stato risolto nella versione 2.13.2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.