CVE-2026-55600 Inyección HTML almacenada en resultados de validación de BOM en Part-DB

Qué es CVE-2026-55600

Part-DB renderiza los mensajes de validación de BOM con el filtro |raw de Twig, y esos mensajes incluyen marcadores traducidos con nombres de piezas controlados por el usuario. Un usuario que puede editar el nombre de una pieza puede almacenar HTML; cuando otro usuario importa un CSV de BOM que referencia esa pieza, el HTML malicioso se renderiza en su página de resultados de validación. La ejecución de JavaScript parece bloqueada por la CSP actual, pero se pueden inyectar enlaces, formularios, imágenes y…

Productos y versiones afectadas

• Part-DB Part-DB-server

  • < 2.12.2

Qué hacer

1. Verificá si usás Part-DB-server y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 4.0 · 5.7 MEDIA

CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:A/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

REQUISITOS DEL ATAQUE (AT)

Presentes

PRIVILEGIOS REQUERIDOS (PR)

Bajos

INTERACCIÓN DEL USUARIO (UI)

Activa

CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)

Ninguna

INTEGRIDAD (SISTEMA VULNERABLE) (VI)

Alta

DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)

Ninguna

CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)

Ninguna

INTEGRIDAD (SISTEMAS POSTERIORES) (SI)

Ninguna

DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)

Ninguna

Abrir la calculadora completa →

Descripción original

Part-DB is an open source inventory management system for electronic components. Prior to version 2.12.2, Part-DB renders BOM validation information messages using Twig's |raw filter. These messages include translated placeholders populated with user-controlled Part names. A user who can edit a Part name can store HTML markup in the Part name. When another user imports a BOM CSV referencing that Part ID, the malicious Part name is rendered as HTML in the victim's BOM validation result page. This results in a cross-user stored HTML injection issue. JavaScript execution appears to be blocked by the current Content Security Policy, but arbitrary HTML links, forms, images, and CSS-based UI elements can still be injected into a trusted Part-DB page. This issue has been patched in version 2.12.2.

Referencias

• github.com/Part-DB/Part-DB-server/security/advisories/GHSA-qqrh-jjhg-vv5rX_REFSOURCE_CONFIRM
• github.com/Part-DB/Part-DB-server/releases/tag/v2.12.2X_REFSOURCE_MISC

Historial de la alerta

1. 23 OCT · 02:44VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.