CVE-2026-45703
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Pimcore przed wersjami 11.5.17 (LTS) i 12.3.7 zawiera podatność w przepływie eksportu WordExport. Sprawdza on tylko uprawnienie do funkcji word_export, ale bezpośrednio rozwiązuje kontrolowane przez atakującego dane wejściowe typu/id bez egzekwowania uprawnienia do podglądu na stronach, fragmentach, e-mailach lub obiektach. Umożliwia to użytkownikowi backendu z niskimi uprawnieniami eksportowanie treści dokumentów, do których nie ma dostępu.
Ocena ryzyka
Użytkownik z niskimi uprawnieniami może wyeksportować wrażliwe treści dokumentów, do których nie powinien mieć dostępu, co prowadzi do naruszenia poufności danych.
Rekomendacja
Zaleca się aktualizację Pimcore do wersji 11.5.17 (LTS) lub 12.3.7.
Inne podatności w Pimcore
Zobacz wszystkie- CVE-2026-5394Wysokie
Użytkownik administracyjny, który ma możliwość importowania lub zapisywania definicji klas DataObject, może wstrzykiwać kontrolowane przez atakującego metadane indeksu kompozytowego, co prowadzi do niezamierzonego wykonania SQL w backendzie.
- CVE-2026-23493Wysokie
Pimcore to platforma open source do zarządzania danymi i doświadczeniami. Przed wersjami 12.3.1 i 11.5.14 plik http_error_log przechowuje zmienne $_COOKIE i $_SERVER, co może ujawniać wrażliwe informacje, takie jak hasła do baz danych, dane sesji cookie i inne szczegóły, dostępne przez backend Pimcore.
- CVE-2026-23492Wysokie
Pimcore to platforma zarządzania danymi i doświadczeniami typu open source. Przed wersjami 12.3.1 i 11.5.14 niekompletna poprawka SQL injection w API Admin Search Find pozwala uwierzytelnionemu atakującemu na przeprowadzenie ślepego SQL injection. Mimo że CVE-2023-30848 próbował złagodzić SQL injection przez usunięcie komentarzy SQL (--) i wychwytywanie błędów składni, poprawka jest niewystarczająca. Atakujący mogą nadal wstrzykiwać ładunki SQL, które nie polegają na komentarzach, i wywnioskować informacje z bazy danych za pomocą technik ślepych. Luka dotyczy interfejsu administracyjnego i może prowadzić do ujawnienia informacji z bazy danych. Luka została naprawiona w wersjach 12.3.1 i 11.5.14.
- CVE-2015-4426Wysokie
Podatność SQL injection w pimcore przed wersją 3473 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr filtru w admin/asset/grid-proxy.
- CVE-2026-55634Krytyczne
Pimcore przed wersjami 11.5.19, 12.3.10 i 2026.1.6 ma podatność w punkcie końcowym importu definicji klas, gdzie pole nazwy DataObject jest emitowane bez listy dozwolonych identyfikatorów, co pozwala uwierzytelnionemu użytkownikowi z uprawnieniami obiektów na wstrzyknięcie składni PHP do generowanych klas DataObject oraz wstrzyknięcie treści identyfikatorów SQL do instrukcji zmieniających schemat. Walidacja w setName() nie odrzucała średników, nawiasów klamrowych, backticków, spacji ani innych znaków nieidentyfikatorowych.
- CVE-2026-55220Krytyczne
Pimcore przed wersjami 11.5.19, 12.3.10 i 2026.1.6 zawiera podatność w metodzie Hotspotimage::getDataFromResource(), która przekazuje kolumnę __hotspots do funkcji Pimcore\Tool\Serialize::unserialize() bez ograniczeń dozwolonych klas po nieudanym dekodowaniu JSON. Atakujący z możliwością zapisu spreparowanych bajtów serializacji PHP do tej kolumny może utworzyć instancje dostępnych klas i wywołać metody magiczne, co może prowadzić do zapisu dowolnych plików lub wykonania kodu. Problem naprawiono dla Hotspotimage w wersjach 11.5.19, 12.3.10 i 2026.1.6.
- CVE-2026-45704Wysokie
Pimcore przed wersjami 11.5.17 (LTS) i 12.3.6 ma niespójną autoryzację między listą raportów a szczegółami raportu w CustomReports. Użytkownik backendu z niskimi uprawnieniami i uprawnieniem 'reports' może odczytać nieudostępniony raport, znając jego nazwę, uzyskując dostęp do metadanych, konfiguracji źródła danych i ustawień udostępniania.
- CVE-2026-45260Wysokie
Podatność w Pimcore przed wersjami 11.5.17 (LTS) i 12.3.7. Endpoint WebDAV `/asset/webdav{path}` umożliwia operację MOVE bez uwierzytelnienia, co pozwala nieautoryzowanemu atakującemu na usuwanie, przenoszenie lub nadpisywanie zasobów.
- CVE-2026-44739Wysokie
Pimcore przed wersjami 11.5.17 (LTS) i 12.3.6 zawiera podatność na wstrzykiwanie SQL w endpointcie columnConfigAction. Atakujący z uprawnieniami reports_config może wykonywać dowolne zapytania SELECT, używać UNION, niebezpiecznych funkcji bazodanowych oraz przeprowadzać ataki oparte na błędach, co prowadzi do wycieku lub manipulacji danymi.
- CVE-2026-45162Wysokie
Pimcore przed wersjami 11.5.17 (LTS) i 12.3.7 wywołuje PHP unserialize() na danych z kolumn bazy danych i plików bez ograniczenia allowed_classes w wielu lokalizacjach, m.in. lib/Tool/Authentication.php. Umożliwia to wstrzyknięcie obiektu i zdalne wykonanie kodu, jeśli atakujący może kontrolować źródło serializowanych danych.
Oryginalny opis (angielski, źródło NVD)
Pimcore is an Open Source Data & Experience Management Platform. Prior to 11.5.17 (LTS) and 12.3.7, the WordExport export flow in bundles/WordExportBundle/src/Controller/TranslationController.php only checks the word_export feature permission and directly resolves attacker-controlled type/id input without enforcing view permission on page, snippet, email, or object elements, allowing a low-privileged backend user to export document content the user is not allowed to view. This issue is fixed in versions 11.5.17 (LTS) and 12.3.7.