Part-DB-server: Passwort-Reset-Link-Vergiftung über Host-Header führt zu Admin-Übernahme

Zusammenfassung

Part-DB erstellt den Passwort-Reset-Link in E-Mails aus dem vom Client gelieferten HTTP-Host-Header ohne Prüfung vertrauenswürdiger Hosts, wenn TRUSTED_HOSTS nicht gesetzt ist. Ein nicht authentifizierter Angreifer kann mit einem gefälschten Host-Header einen Passwort-Reset für ein bekanntes Konto anfordern, einschliesslich des vordefinierten Admin-Kontos, sodass das Opfer einen gültigen Reset-Token in einem Link zu einem vom Angreifer kontrollierten Host erhält. Öffnet das Opfer oder ein automatischer Mail-Scanner den Link, erhält der Angreifer den Token und kann ein neues Passwort setzen, was zu einer vollständigen Übernahme des Administratorkontos führt.

Betroffen

• Part-DB-server Versionen vor 2.13.3 (CNA-Daten: < 2.13.3; Herstellerhinweis: <= 2.13.2)
• Nur relevant, wenn E-Mail-basierter Passwort-Reset aktiviert ist (ALLOW_EMAIL_PW_RESET=1) und TRUSTED_HOSTS leer ist
• Die Bewertungen unterscheiden sich: CNA/NVD CVSS 4.0 8.7 (Hoch); VulDB CVSS 7.3

Behoben in

• Part-DB 2.13.3 stellt sicher, dass der Passwort-Reset-Link immer auf einen vertrauenswürdigen Host zeigt.
• Neuere Versionen existieren (2.13.4 und 2.14.x sind auf der Release-Seite aufgeführt); prüfen Sie vor dem Update die aktuelle stabile Version und deren Changelog.

Umgehung

• Setzen Sie die Umgebungsvariable TRUSTED_HOSTS auf den legitimen Hostnamen der Instanz. Die Version 2.13.3 empfiehlt dies; die Wirksamkeit gegen diese Schwachstelle ist im Herstellerhinweis der verfügbaren Quellen nicht bestätigt.
• Deaktivieren Sie den E-Mail-basierten Passwort-Reset (ALLOW_EMAIL_PW_RESET), falls er nicht benötigt wird.
• Beschränken Sie den Netzwerkzugriff auf die Instanz.

Ausnutzung

• CISA SSVC: Exploitation-Status 'poc', automatisierbar: ja, technische Auswirkung: total.
• VulDB gibt an, dass kein Exploit existiert; ein Aggregator listet eine PoC-Anzahl, die nicht verifiziert werden konnte.
• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; kein Eintrag im CISA KEV-Katalog gefunden.
• Der Ausnutzungsstatus ist als unbekannt statt als nicht vorhanden zu behandeln.

Unsere Empfehlung

• Aktualisieren Sie alle Part-DB-Instanzen auf 2.13.3 oder neuer, vorzugsweise auf die aktuelle stabile Version.
• Setzen Sie TRUSTED_HOSTS und deaktivieren Sie den E-Mail-Passwort-Reset, falls das Patchen verzögert wird.
• Prüfen Sie, ob die Instanz aus dem Internet erreichbar ist; rein interne Installationen sind weniger gefährdet.
• Kontrollieren Sie Administratorkonten auf unerwartete Passwort-Resets und prüfen Sie die Mail-Logs auf Reset-Anfragen, die Benutzer nicht ausgelöst haben.
• Verwenden Sie starke, eindeutige Passwörter und MFA für Administratorkonten, sofern unterstützt.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Part-DB 2.13.3 release github.com
• GitHub Security Advisory GHSA-m9rf-69wp-c56r github.com
• VulDB entry 425567 vuldb.com
• Vulners CVE-2026-86055 vulners.com
• Part-DB releases github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 00:33.