CVE-2026-45260

Użytkownik administracyjny, który ma możliwość importowania lub zapisywania definicji klas DataObject, może wstrzykiwać kontrolowane przez atakującego metadane indeksu kompozytowego, co prowadzi do niezamierzonego wykonania SQL w backendzie.

Pimcore to platforma open source do zarządzania danymi i doświadczeniami. Przed wersjami 12.3.1 i 11.5.14 plik http_error_log przechowuje zmienne $_COOKIE i $_SERVER, co może ujawniać wrażliwe informacje, takie jak hasła do baz danych, dane sesji cookie i inne szczegóły, dostępne przez backend Pimcore.

Pimcore to platforma zarządzania danymi i doświadczeniami typu open source. Przed wersjami 12.3.1 i 11.5.14 niekompletna poprawka SQL injection w API Admin Search Find pozwala uwierzytelnionemu atakującemu na przeprowadzenie ślepego SQL injection. Mimo że CVE-2023-30848 próbował złagodzić SQL injection przez usunięcie komentarzy SQL (--) i wychwytywanie błędów składni, poprawka jest niewystarczająca. Atakujący mogą nadal wstrzykiwać ładunki SQL, które nie polegają na komentarzach, i wywnioskować informacje z bazy danych za pomocą technik ślepych. Luka dotyczy interfejsu administracyjnego i może prowadzić do ujawnienia informacji z bazy danych. Luka została naprawiona w wersjach 12.3.1 i 11.5.14.

Podatność SQL injection w pimcore przed wersją 3473 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr filtru w admin/asset/grid-proxy.

Pimcore przed wersjami 11.5.19, 12.3.10 i 2026.1.6 ma podatność w punkcie końcowym importu definicji klas, gdzie pole nazwy DataObject jest emitowane bez listy dozwolonych identyfikatorów, co pozwala uwierzytelnionemu użytkownikowi z uprawnieniami obiektów na wstrzyknięcie składni PHP do generowanych klas DataObject oraz wstrzyknięcie treści identyfikatorów SQL do instrukcji zmieniających schemat. Walidacja w setName() nie odrzucała średników, nawiasów klamrowych, backticków, spacji ani innych znaków nieidentyfikatorowych.

Pimcore przed wersjami 11.5.19, 12.3.10 i 2026.1.6 zawiera podatność w metodzie Hotspotimage::getDataFromResource(), która przekazuje kolumnę __hotspots do funkcji Pimcore\Tool\Serialize::unserialize() bez ograniczeń dozwolonych klas po nieudanym dekodowaniu JSON. Atakujący z możliwością zapisu spreparowanych bajtów serializacji PHP do tej kolumny może utworzyć instancje dostępnych klas i wywołać metody magiczne, co może prowadzić do zapisu dowolnych plików lub wykonania kodu. Problem naprawiono dla Hotspotimage w wersjach 11.5.19, 12.3.10 i 2026.1.6.

Pimcore do wersji 2026.3.1 zawiera podatność przechowywanego cross-site scripting, która pozwala uwierzytelnionym użytkownikom backendu na wstrzykiwanie skryptów poprzez przechowywanie nieuciekanych URL-i w polach ExternalImage.

Pimcore przed wersjami 11.5.19, 12.3.10 i 2026.1.6 pozwala uwierzytelnionemu użytkownikowi z uprawnieniem reports_config na wstrzyknięcie fragmentów SQL do pól sql, from, where i groupby w konfiguracji raportów. Wykonanie raportu może ujawnić, zmodyfikować lub usunąć dowolne dane w bazie.

Pimcore przed wersją 2026.1.5 pozwala uwierzytelnionemu użytkownikowi z uprawnieniem objects na przesłanie złośliwego UID definicji klasy, który jest używany w zapytaniach SQL bez odpowiedniego cytowania. Może to prowadzić do odczytu lub modyfikacji dowolnych tabel bazy danych, w tym ujawnienia hashy haseł.

Pimcore przed wersjami 11.5.17 (LTS) i 12.3.6 ma niespójną autoryzację między listą raportów a szczegółami raportu w CustomReports. Użytkownik backendu z niskimi uprawnieniami i uprawnieniem 'reports' może odczytać nieudostępniony raport, znając jego nazwę, uzyskując dostęp do metadanych, konfiguracji źródła danych i ustawień udostępniania.