Stored HTML-инъекция в результатах проверки BOM в Part-DB (CVE-2026-55600)
В Part-DB до версии 2.12.2 обнаружена уязвимость хранимой HTML-инъекции: имя компонента, содержащее HTML-разметку, отображается без экранирования на странице результатов валидации BOM у другого пользователя. Проблема затрагивает инсталляции, где пользователи могут редактировать названия компонентов и обмениваться BOM-файлами. Уровень опасности — средний (CVSS 5.7).
Подробности
Уязвимость затрагивает Part-DB-server в версиях до 2.12.2. При формировании информационных сообщений о результатах проверки BOM приложение применяет фильтр |raw в шаблонизаторе Twig. В эти сообщения подставляются переведённые плейсхолдеры, в которые попадают названия компонентов, контролируемые пользователем. Сценарий атаки выглядит так: пользователь, имеющий право редактировать название компонента, сохраняет в нём HTML-разметку. Когда другой пользователь импортирует BOM в формате CSV, ссылающийся на идентификатор этого компонента, вредоносное название отображается как HTML на странице результатов проверки BOM у жертвы. Таким образом реализуется хранимая HTML-инъекция, действующая в рамках разных учётных записей. По данным источника, выполнение JavaScript в текущей конфигурации блокируется действующей политикой Content Security Policy. Тем не менее злоумышленник может внедрить в доверенную страницу Part-DB произвольные HTML-ссылки, формы, изображения и UI-элементы на основе CSS. Это создаёт риск фишинга, подмены интерфейса и кражи учётных данных через поддельные формы. Уязвимость устранена в версии 2.12.2.Что делать
Основная рекомендация — обновить Part-DB-server до версии 2.12.2 или более поздней. Перед обновлением целесообразно ограничить круг пользователей, имеющих право редактировать названия компонентов, и ужесточить контроль над импортируемыми BOM-файлами. Дополнительной мерой защиты остаётся строгая политика Content Security Policy: она не устраняет инъекцию, но снижает риск выполнения скриптов. Также стоит проверить журналы на предмет подозрительных изменений названий компонентов и необычных импортов BOM. Итог: уязвимость не критична, но позволяет внедрять произвольную HTML-разметку в доверенные страницы и использовать их для атак на других пользователей. Обновление до 2.12.2 закрывает проблему; до его установки помогают ограничение прав на редактирование названий и контроль импорта BOM.Источник: CVE Project (cvelistV5)