CVE-2026-59188 Cross-site scripting (XSS) almacenado en Part-DB por omisión de sanitización de SVG mediante falsificación…
Part-DB, anterior a la versión 2.12.3, sanitiza los archivos SVG basándose únicamente en la extensión del nombre de archivo controlada por el usuario y no en el tipo de contenido real. Un atacante autenticado puede subir un SVG malicioso con JavaScript usando una extensión que no sea SVG, como .jpg, eludiendo por completo la sanitización. Cuando cualquier usuario ve el adjunto en línea, el navegador recibe Content-Type: image/svg+xml y ejecuta el script embebido en el origen de Part-DB. Corregido en 2.12.3.
CVSS 3.1
- Probabilidad de explotación0,1 %
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Part-DB Part-DB-server
< 2.12.3
Qué hacer
- Verificá si usás Part-DB-server y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 5.4 MEDIA
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosBajos
- Interacción del usuarioRequerida
- AlcanceCambiado
- ConfidencialidadBaja
- IntegridadBaja
- DisponibilidadNinguna
Descripción original
Part-DB is an open source inventory management system for electronic components. Prior to version 2.12.3, Part-DB-server sanitizes SVG files based solely on the user-controlled filename extension rather than actual file content type. An authenticated attacker can upload a malicious SVG with JavaScript payload using a non-SVG extension (e.g., .jpg), bypassing sanitization entirely. When any user views the attachment inline, the browser receives Content-Type: image/svg+xml and executes the embedded script in the Part-DB origin. This issue has been patched in version 2.12.3.
Referencias (2)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.