Veille sécuritéFrontend
P4Moyenne
Part-DB-server ne vérifie pas le véritable type du fichier SVG et se fie à son extension, ce qui permet à un utilisateur authentifié de contourner l’assainissement avec un fichier SVG malveillant doté d’une autre extension. Lorsqu’un utilisateur consulte la pièce jointe en ligne, le navigateur la reçoit comme SVG et peut exécuter le JavaScript intégré ; la faille est corrigée dans la version 2.12.3.
JavaScript
IdentifiantCVE-2026-59188
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif2.12.3
Source : NVD — CVE-2026-59188
Analyse technique
Le contrôle de sécurité repose sur l’extension du nom de fichier plutôt que sur le contenu réel. Une pièce jointe malveillante est servie avec le type Content-Type: image/svg+xml.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-23 ; cette publication de vulnérabilité est dans la période demandée.
ImpactUn attaquant authentifié peut faire exécuter du JavaScript dans l’origine Part-DB lorsqu’un utilisateur consulte la pièce jointe malveillante.
Versions affectéesVersions antérieures à 2.12.3.
Version corrigée2.12.3
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.4
EPSS0,15% · percentile 3,8%
Publication2026-10-23T05:17:17.937Z
Mise à jour2026-10-23T19:36:32.410Z
Action recommandée
Mettre à niveau Part-DB-server vers la version 2.12.3 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).