CVE-2026-86018 Denegación de servicio por agotamiento de disco en Part-DB al descargar adjuntos externos

Qué es CVE-2026-86018

Part-DB no aplica el límite MAX_ATTACHMENT_FILE_SIZE cuando un usuario autenticado usa la función de descarga de archivos externos del lado del servidor, por lo que puede almacenar archivos mayores al máximo configurado y agotar el espacio en disco. Requiere autenticación y permiso para crear o editar adjuntos. Corregido en la versión 2.13.2.

Productos y versiones afectadas

• Part-DB Part-DB-server

  • < 2.13.2

Qué hacer

1. Verificá si usás Part-DB-server y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 4.0 · 5.3 MEDIA

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:L/VA:L/SC:N/SI:N/SA:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

REQUISITOS DEL ATAQUE (AT)

Ninguno

PRIVILEGIOS REQUERIDOS (PR)

Bajos

INTERACCIÓN DEL USUARIO (UI)

Ninguna

CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)

Ninguna

INTEGRIDAD (SISTEMA VULNERABLE) (VI)

Baja

DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)

Baja

CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)

Ninguna

INTEGRIDAD (SISTEMAS POSTERIORES) (SI)

Ninguna

DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)

Ninguna

Abrir la calculadora completa →

Descripción original

Part-DB is an open source inventory management system for electronic components. Prior to version 2.13.2, Part-DB allows authenticated users to bypass the configured maximum attachment file size when using the server-side “Download external file” attachment feature. When server-side attachment downloads are enabled, Part-DB downloads the remote file and streams it directly to disk without enforcing the configured MAX_ATTACHMENT_FILE_SIZE limit. As a result, an authenticated user who can create or edit attachments can cause Part-DB to store files larger than the configured maximum attachment size, potentially exhausting disk space and causing a denial of service. This issue has been patched in version 2.13.2.

Referencias

• github.com/Part-DB/Part-DB-server/security/advisories/GHSA-2whx-2cx7-qvq6X_REFSOURCE_CONFIRM
• github.com/Part-DB/Part-DB-server/releases/tag/v2.13.2X_REFSOURCE_MISC

Historial de la alerta

1. 23 OCT · 02:44VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.