Part-DB Server: Remote Code Execution über Upload von .phar-Anhängen

Zusammenfassung

Part-DB, ein Open-Source-Inventarsystem für elektronische Komponenten, speichert hochgeladene Anhänge zu Teilen im webseitig erreichbaren Medienverzeichnis. Die Erweiterungssperrliste enthält .phar nicht, weshalb eine PHP-Datei mit dieser Erweiterung erhalten bleibt und bei Aufruf unter /media/ durch PHP-FPM ausgeführt wird. Jeder authentifizierte Benutzer der Standard-Benutzergruppe kann dies ausnutzen, um beliebigen PHP-Code als Webserver-Benutzer www-data auszuführen, und so auf die Datenbank der Anwendung zugreifen. Das CNA stuft die Lücke als kritisch ein (CVSS 9.6).

Betroffen

• Part-DB-server-Versionen vor 2.12.1 (das Advisory hat Version 2.12.0 getestet)
• Docker-Images, die auf dem offiziellen Image jbtronics/part-db1 in der Standardkonfiguration basieren

Behoben in

• Part-DB-server 2.12.1 oder neuer

Umgehung

• Unbekannt. Der Hersteller dokumentiert keine Workaround-Massnahme.
• Mögliche Zwischenlösung (nicht vom Hersteller): PHP-Ausführung unter /media/ unterbinden und die .phar-Zuordnung zu PHP-FPM entfernen. Vorher in der eigenen Apache- und PHP-FPM-Konfiguration prüfen.

Ausnutzung

• Der Hersteller hat die Ausnutzbarkeit in einem Labortest mit der Standardkonfiguration der Docker-Installation bestätigt.
• Die CISA-SSVC-Bewertung lautet: Exploitation PoC, automatisierbar nein.
• Zum Zeitpunkt der Recherche wurden keine Berichte über aktive Ausnutzung und kein öffentlicher Proof-of-Concept-Code gefunden.

Unsere Empfehlung

• Auf Part-DB-server 2.12.1 oder neuer aktualisieren und Docker-Images aus korrigierten Quellen neu erstellen.
• Den APP_SECRET-Wert gemäss den Hinweisen zu Version 2.12.1 ändern.
• Das Medienverzeichnis nach .phar-Dateien und anderen PHP-Dateien durchsuchen und diese prüfen.
• Prüfen, welche Benutzer Teile bearbeiten und Anhangstypen erstellen können, und diese Rechte einschränken.
• Den Zugriff auf Part-DB beschränken, falls die Anwendung aus dem Internet erreichbar ist.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Part-DB 2.12.1 release github.com
• GHSA-w5m7-3xf7-6g7g security advisory github.com
• VulDB CVE-2026-54630 vuldb.com
• Vulners NVD record CVE-2026-54630 vulners.com
• Part-DB 2.12.1 release notes (newreleases.io) newreleases.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 22:10.