CVE-2026-44741
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
Pimcore Admin Classic Bundle w wersjach przed 2.3.6 i 1.7.18 zawiera podatność na iniekcję SQL w filtrze daty w siatce tłumaczeń. Pole `property` dostarczane przez użytkownika w JSON filtra jest interpolowane bezpośrednio do wyrażenia SQL `UNIX_TIMESTAMP(DATE(FROM_UNIXTIME(...)))` bez parametryzacji ani walidacji na liście dozwolonych wartości. Wersje 2.3.6 i 1.7.18 naprawiają ten problem.
Ocena ryzyka
Ryzyko nieautoryzowanego dostępu do bazy danych, w tym odczytu, modyfikacji lub usunięcia danych, co może prowadzić do naruszenia poufności i integralności.
Rekomendacja
Zaktualizuj Pimcore Admin Classic Bundle do wersji 2.3.6 lub 1.7.18 (lub nowszej) i ogranicz dostęp do panelu administracyjnego.
Oryginalny opis (angielski, źródło NVD)
Pimcore's Admin Classic Bundle provides a Backend UI for Pimcore. Versions prior to 2.3.6 and 1.7.18 have a SQL injection vulnerability in Pimcore's translation grid date filter — the user-supplied `property` field from the filter JSON is interpolated directly into a `UNIX_TIMESTAMP(DATE(FROM_UNIXTIME(...)))` SQL expression without parameterization or allowlist validation. Versiosn 2.3.6 and 1.7.18 fix the issue.