CVE-2026-55600
Təsvir
Part-DB elektron komponentlər üçün açıq mənbəli inventar idarəetmə sistemidir. Versiya 2.12.2-dən əvvəl Part-DB, BOM təsdiqləmə məlumat mesajlarını Twig-in |raw filtri vasitəsilə render edir. Bu mesajlara istifadəçi tərəfindən idarə olunan Part adları ilə doldurulmuş tərcümə edilmiş yer tutucular daxildir. Part adını redaktə edə bilən istifadəçi, həmin ada HTML nişanlamaları yerləşdirə bilər. Digər bir istifadəçi həmin Part ID-sinə istinad edən BOM CSV faylını idxal etdikdə, zərərli Part adı qurbanın BOM təsdiqləmə nəticələri səhifəsində HTML kimi render olunur. Bu, istifadəçilərarası saxlanılan HTML inyeksiyası probleminə yol açır. JavaScript-in icrasının mövcud Məzmun Təhlükəsizlik Siyasəti (CSP) tərəfindən bloklandığı görünür, lakin etibarlı Part-DB səhifəsinə hələ də ixtiyari HTML linkləri, formalar, şəkillər və CSS əsaslı UI elementləri inyeksiya edilə bilər. Bu problem versiya 2.12.2-də aradan qaldırılmışdır.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| Part-DB Part-DB-server | < 2.12.2 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.