Veille sécuritéFrontend
P4Moyenne
Part-DB présente une injection HTML stockée dans les journaux d’activité et l’historique des éléments : un utilisateur pouvant modifier un élément peut y inscrire un nom malveillant, ensuite affiché dans le navigateur d’un utilisateur privilégié. La fiche indique que la politique CSP bloque normalement l’exécution de JavaScript en ligne ; la faille est corrigée dans la version 2.12.1.
JavaScript
IdentifiantCVE-2026-54615
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif2.12.1
Source : NVD — CVE-2026-54615
Analyse technique
La branche CollectionElementDeleted de LogEntryExtraFormatter::getInternalFormat() insère des noms contrôlés par l’utilisateur sans échappement ; la sortie est rendue comme HTML brut.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-23 ; cette publication de vulnérabilité, et non sa seule mise à jour ultérieure, est retenue dans la période.
ImpactUn contenu HTML contrôlé par un utilisateur peut être affiché dans le contexte de l’application à des utilisateurs privilégiés ; l’exécution de JavaScript en ligne est normalement bloquée par la CSP.
Versions affectéesVersions antérieures à 2.12.1.
Version corrigée2.12.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6
EPSS0,30% · percentile 21,3%
Publication2026-10-23T04:18:16.833Z
Mise à jour2026-10-23T19:36:32.410Z
Action recommandée
Mettre à niveau Part-DB vers la version 2.12.1 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).