CVE-2026-86020
Təsvir
Part-DB elektron komponentlər üçün açıq mənbəli inventar idarəetmə sistemidir. Versiya 2.13.2-dən əvvəlki Part-DB hissələrin idxal/ixrac iş axınında cədvəl düsturu inyeksiyası zəifliyini ehtiva edir. Hissələri idxal etmək icazəsi olan autentifikasiya olunmuş istifadəçi, =1+1 kimi düstur prefiksli dəyərləri ehtiva edən CSV faylını istifadəçi tərəfindən idarə olunan hissə sahələrinə idxal edə bilər. Təsirə məruz qalmış hissə daha sonra XLSX cədvəli kimi ixrac edildikdə, Part-DB cədvəl düsturu simvollarını neytrallaşdırmadan PhpSpreadsheet-in setCellValue() metodundan istifadə edərək hücumçu tərəfindən idarə olunan dəyəri yazır. Nəticədə, ixrac edilmiş XLSX faylı sadə mətn dəyəri əvəzinə icra edilə bilən cədvəl düsturu xanası ehtiva edir. Əgər başqa bir istifadəçi cədvəli ixrac edib açarsa, düstur onların cədvəl proqram təminatı tərəfindən qiymətləndirilə bilər. Bu problem versiya 2.13.2-də aradan qaldırılmışdır.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| Part-DB Part-DB-server | < 2.13.2 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.