Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-79
  • CWE-434

CVE-2026-59188

Part-DB'de Dosya Uzantısı Taklidiyle SVG Temizleme Atlatma: Ek Görüntüleyicide Kalıcı XSS

Part-DB-server

Orta 5,4 CVSS 3.1
Yayımlandı
Güncellendi
23 Eki 2026
Açık yaşı
5 gün
Kaydı açan
GitHub_M

ÖzetTürkçe

Part-DB, elektronik bileşenler için açık kaynaklı bir envanter yönetim sistemidir. 2.12.3 sürümünden önce Part-DB-server, SVG dosyalarını gerçek dosya içeriği türüne göre değil, yalnızca kullanıcının kontrolündeki dosya adı uzantısına göre temizlemektedir. Kimliği doğrulanmış bir saldırgan, SVG olmayan bir uzantı (ör. .jpg) kullanarak JavaScript yükü içeren kötü amaçlı bir SVG yükleyebilir ve bu sayede temizleme mekanizmasını tamamen atlatabilir. Herhangi bir kullanıcı eki satır içi görüntülediğinde tarayıcı Content-Type: image/svg+xml başlığını alır ve gömülü betiği Part-DB kaynağında çalıştırır. Sorun 2.12.3 sürümünde giderilmiştir.

Kaynaktaki açıklama (İngilizce)

Part-DB is an open source inventory management system for electronic components. Prior to version 2.12.3, Part-DB-server sanitizes SVG files based solely on the user-controlled filename extension rather than actual file content type. An authenticated attacker can upload a malicious SVG with JavaScript payload using a non-SVG extension (e.g., .jpg), bypassing sanitization entirely. When any user views the attachment inline, the browser receives Content-Type: image/svg+xml and executes the embedded script in the Part-DB origin. This issue has been patched in version 2.12.3.

Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Part-DB-server < 2.12.3 2.12.3

Kaynaklar4 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.