CVE-2026-54615

Part-DB to system zarządzania zapasami komponentów elektronicznych typu open source. Przed wersją 2.12.1 LogEntryExtraFormatter tworzy kod HTML pokazany w kolumnie „Extra” tabeli dziennika aktywności (/log) oraz w tabelach historii elementów. Każda gałąź LogEntryExtraFormatter::getInternalFormat() uruchamia kontrolowane przez użytkownika ciągi znaków za pomocą funkcji htmlspecialchars() przed umieszczeniem ich w zwracanym kodzie HTML — z wyjątkiem gałęzi CollectionElementDeleted, która interpoluje metody getOldName() (i getCollectionName()) do szablonu sprintf() bez ucieczki. Zwrócony ciąg znaków jest emitowany przez funkcję LogEntryExtraColumn::render() i wstawiany jako surowy kod HTML do komórki DataTables (pakiet nie ucieka z danych wyjściowych kolumny; kolumny rodzeństwa same wywołują funkcję htmlspecialchars()). CollectionElementDeleted.getOldName() to nazwa usuniętego podelementu kolekcji — parametru części, załącznika, partii części, szczegółów zamówienia itp. — wszystko to jest dowolnie ustawiane przez dowolnego użytkownika z uprawnieniami do edycji elementu będącego właścicielem. Edytor treści o niskich uprawnieniach może zatem przechowywać ładunek HTML/skrypt jako nazwę takiego podelementu, usunąć go (co powoduje zapisanie wpisu w dzienniku) i zlecić przeanalizowanie tego znacznika jako żywy DOM w przeglądarce ofiary o wyższych uprawnieniach (administratora/audytora z systemem.show_logs lub dowolnego użytkownika przeglądającego historię tego elementu). Jest to przechowywany defekt skryptów między witrynami/wstrzykiwania HTML spowodowany pojedynczym pominięciem narzędzia dezynfekującego w jednej z gałęzi rodzeństwa. Zasady CSP blokują wykonywanie wbudowanego skryptu JavaScript w normalnych warunkach. Ten problem został naprawiony w wersji 2.12.1.