CVE-2026-86055 Envenenamiento de enlaces de restablecimiento por inyección de Host en Part-DB

Qué es CVE-2026-86055

Part-DB arma la URL absoluta del enlace de restablecimiento de contraseña a partir del encabezado Host enviado por el cliente, sin validar hosts confiables. Un atacante no autenticado puede solicitar el restablecimiento de una cuenta conocida con un Host falsificado y lograr que el correo incluya un enlace con hostname controlado por él pero con el token válido; al abrirlo la víctima o un escáner de correo, el token se filtra y permite tomar la cuenta, incluida la cuenta admin sembrada. Corregido en la versión…

Productos y versiones afectadas

• Part-DB Part-DB-server

  • < 2.13.3

Qué hacer

1. Verificá si usás Part-DB-server y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 4.0 · 8.7 ALTA

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

REQUISITOS DEL ATAQUE (AT)

Ninguno

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Pasiva

CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)

Alta

INTEGRIDAD (SISTEMA VULNERABLE) (VI)

Alta

DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)

Alta

CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)

Ninguna

INTEGRIDAD (SISTEMAS POSTERIORES) (SI)

Ninguna

DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)

Ninguna

Abrir la calculadora completa →

Descripción original

Part-DB is an open source inventory management system for electronic components. Prior to version 2.13.3, Part-DB builds the absolute URL of the password-reset link it emails to a user from the client-supplied HTTP Host header, with no trusted-host validation. An unauthenticated attacker who submits a forgot-password request for a known account while sending a spoofed Host header causes Part-DB to email that account a reset link whose hostname is attacker-controlled, while still embedding the genuine reset token. When the victim opens the link (or an automated inbound mail-security scanner dereferences it), the valid token is disclosed to the attacker, who replays it against the real instance to set a new password and take over the account. Because the seeded admin account can be targeted, this yields full pre-authentication administrative account takeover. This issue has been patched in version 2.13.3.

Referencias

• github.com/Part-DB/Part-DB-server/security/advisories/GHSA-m9rf-69wp-c56rX_REFSOURCE_CONFIRM
• github.com/Part-DB/Part-DB-server/releases/tag/v2.13.3X_REFSOURCE_MISC

Historial de la alerta

1. 23 OCT · 02:44VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.