- Yama var
- Son 7 gün
- CWE-79
CVE-2026-55600
Part-DB'de BOM doğrulama sonuçlarında kaydedilmiş HTML enjeksiyonu
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
Part-DB, elektronik bileşenler için açık kaynaklı bir envanter yönetim sistemidir. 2.12.2 sürümünden önce, Part-DB BOM doğrulama bilgi mesajlarını Twig'in |raw filtresini kullanarak işlemektedir. Bu mesajlar, kullanıcı kontrollü Part adlarıyla doldurulan çevrilmiş yer tutucular içermektedir. Part adını düzenleyebilen bir kullanıcı, Part adına HTML işaretlemesi kaydedebilir. Başka bir kullanıcı, bu Part ID'sine referans veren bir BOM CSV dosyası içe aktardığında, kötü niyetli Part adı kurbanın BOM doğrulama sonuç sayfasında HTML olarak işlenir. Bu durum, kullanıcılar arası kaydedilmiş HTML enjeksiyonu sorununa yol açmaktadır. Mevcut İçerik Güvenlik Politikası nedeniyle JavaScript çalıştırmasının engellendiği görünmektedir; ancak güvenilir bir Part-DB sayfasına yine de keyfi HTML bağlantıları, formlar, görseller ve CSS tabanlı arayüz öğeleri enjekte edilebilir. Bu sorun 2.12.2 sürümünde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
Part-DB is an open source inventory management system for electronic components. Prior to version 2.12.2, Part-DB renders BOM validation information messages using Twig's |raw filter. These messages include translated placeholders populated with user-controlled Part names. A user who can edit a Part name can store HTML markup in the Part name. When another user imports a BOM CSV referencing that Part ID, the malicious Part name is rendered as HTML in the victim's BOM validation result page. This results in a cross-user stored HTML injection issue. JavaScript execution appears to be blocked by the current Content Security Policy, but arbitrary HTML links, forms, images, and CSS-based UI elements can still be injected into a trusted Part-DB page. This issue has been patched in version 2.12.2.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Part-DB-server | < 2.12.2 | 2.12.2 |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.