CVE-2026-54630

Part-DB, elektronik bileşenler için açık kaynaklı bir envanter yönetim sistemidir. Versiyon 2.12.1 öncesinde, parça eki yükleme işleyicisi, yüklenen dosyaları istemci tarafından sağlanan dosya uzantısını kullanarak web üzerinden sunulan medya dizini altında saklar ve uzantı engelleme listesi phar uzantısını içermez. AttachmentSubmitHandler::renameBlacklistedExtensions() tehlikeli uzantıları (php, phtml, sh, cgi, py, js, html, htaccess, ...) .txt olarak yeniden yazar ancak phar listede yer almadığı için .phar dosyası uzantısını korur. Genel ekler (varsayılan), Apache belge kök dizini olan public/media/ altına yazılır. Gönderilen Apache yapılandırması .phar uzantısını PHP-FPM'ye yönlendirir, böylece saklanan dosya istek üzerine PHP olarak çalıştırılır. Ek türüne özel uzantı filtresi varsayılan olarak boştur ve yükleme işleyicisi tarafından bunu engelleyecek şekilde sorgulanmaz; ayrıca varsayılan kullanıcı grubundaki yönetici olmayan bir kullanıcı, filtresiz bir ek türü oluşturabilir ve parçalara dosyalar ekleyebilir. Varsayılan kullanıcı grubundaki herhangi bir kimliği doğrulanmış kullanıcı, bir parçaya .phar eki yükleyip bunu /media/ altından çağırarak www-data web kullanıcısı olarak rastgele PHP kodu çalıştırabilir. İstismar edilebilirlik web sunucusu yapılandırmasına bağlıdır; Docker imajı bu zafiyeti varsayılan olarak içeriyordu. Bu sorun versiyon 2.12.1 ile düzeltilmiştir.