CVE-2026-5394
WysokieStreszczenie
Użytkownik administracyjny, który ma możliwość importowania lub zapisywania definicji klas DataObject, może wstrzykiwać kontrolowane przez atakującego metadane indeksu kompozytowego, co prowadzi do niezamierzonego wykonania SQL w backendzie.
Ocena ryzyka
Ta podatność może prowadzić do nieautoryzowanego dostępu do danych oraz potencjalnego usunięcia lub modyfikacji danych w systemie, co stanowi poważne zagrożenie dla integralności bazy danych.
Rekomendacja
Zaleca się ograniczenie uprawnień użytkowników administracyjnych oraz aktualizację do najnowszej wersji oprogramowania, aby zminimalizować ryzyko związane z tą podatnością.
Inne podatności w pimcore: 12.3.3
Zobacz wszystkie- CVE-2026-23493Wysokie
Pimcore to platforma open source do zarządzania danymi i doświadczeniami. Przed wersjami 12.3.1 i 11.5.14 plik http_error_log przechowuje zmienne $_COOKIE i $_SERVER, co może ujawniać wrażliwe informacje, takie jak hasła do baz danych, dane sesji cookie i inne szczegóły, dostępne przez backend Pimcore.
- CVE-2026-23492Wysokie
Pimcore to platforma zarządzania danymi i doświadczeniami typu open source. Przed wersjami 12.3.1 i 11.5.14 niekompletna poprawka SQL injection w API Admin Search Find pozwala uwierzytelnionemu atakującemu na przeprowadzenie ślepego SQL injection. Mimo że CVE-2023-30848 próbował złagodzić SQL injection przez usunięcie komentarzy SQL (--) i wychwytywanie błędów składni, poprawka jest niewystarczająca. Atakujący mogą nadal wstrzykiwać ładunki SQL, które nie polegają na komentarzach, i wywnioskować informacje z bazy danych za pomocą technik ślepych. Luka dotyczy interfejsu administracyjnego i może prowadzić do ujawnienia informacji z bazy danych. Luka została naprawiona w wersjach 12.3.1 i 11.5.14.
- CVE-2015-4426Wysokie
Podatność SQL injection w pimcore przed wersją 3473 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr filtru w admin/asset/grid-proxy.
- CVE-2026-55634Krytyczne
Pimcore przed wersjami 11.5.19, 12.3.10 i 2026.1.6 ma podatność w punkcie końcowym importu definicji klas, gdzie pole nazwy DataObject jest emitowane bez listy dozwolonych identyfikatorów, co pozwala uwierzytelnionemu użytkownikowi z uprawnieniami obiektów na wstrzyknięcie składni PHP do generowanych klas DataObject oraz wstrzyknięcie treści identyfikatorów SQL do instrukcji zmieniających schemat. Walidacja w setName() nie odrzucała średników, nawiasów klamrowych, backticków, spacji ani innych znaków nieidentyfikatorowych.
- CVE-2026-55220Krytyczne
Pimcore przed wersjami 11.5.19, 12.3.10 i 2026.1.6 zawiera podatność w metodzie Hotspotimage::getDataFromResource(), która przekazuje kolumnę __hotspots do funkcji Pimcore\Tool\Serialize::unserialize() bez ograniczeń dozwolonych klas po nieudanym dekodowaniu JSON. Atakujący z możliwością zapisu spreparowanych bajtów serializacji PHP do tej kolumny może utworzyć instancje dostępnych klas i wywołać metody magiczne, co może prowadzić do zapisu dowolnych plików lub wykonania kodu. Problem naprawiono dla Hotspotimage w wersjach 11.5.19, 12.3.10 i 2026.1.6.
- CVE-2026-45704Wysokie
Pimcore przed wersjami 11.5.17 (LTS) i 12.3.6 ma niespójną autoryzację między listą raportów a szczegółami raportu w CustomReports. Użytkownik backendu z niskimi uprawnieniami i uprawnieniem 'reports' może odczytać nieudostępniony raport, znając jego nazwę, uzyskując dostęp do metadanych, konfiguracji źródła danych i ustawień udostępniania.
- CVE-2026-45260Wysokie
Podatność w Pimcore przed wersjami 11.5.17 (LTS) i 12.3.7. Endpoint WebDAV `/asset/webdav{path}` umożliwia operację MOVE bez uwierzytelnienia, co pozwala nieautoryzowanemu atakującemu na usuwanie, przenoszenie lub nadpisywanie zasobów.
- CVE-2026-44739Wysokie
Pimcore przed wersjami 11.5.17 (LTS) i 12.3.6 zawiera podatność na wstrzykiwanie SQL w endpointcie columnConfigAction. Atakujący z uprawnieniami reports_config może wykonywać dowolne zapytania SELECT, używać UNION, niebezpiecznych funkcji bazodanowych oraz przeprowadzać ataki oparte na błędach, co prowadzi do wycieku lub manipulacji danymi.
- CVE-2026-45703Średnie
Pimcore przed wersjami 11.5.17 (LTS) i 12.3.7 zawiera podatność w przepływie eksportu WordExport. Sprawdza on tylko uprawnienie do funkcji word_export, ale bezpośrednio rozwiązuje kontrolowane przez atakującego dane wejściowe typu/id bez egzekwowania uprawnienia do podglądu na stronach, fragmentach, e-mailach lub obiektach. Umożliwia to użytkownikowi backendu z niskimi uprawnieniami eksportowanie treści dokumentów, do których nie ma dostępu.
- CVE-2026-45162Wysokie
Pimcore przed wersjami 11.5.17 (LTS) i 12.3.7 wywołuje PHP unserialize() na danych z kolumn bazy danych i plików bez ograniczenia allowed_classes w wielu lokalizacjach, m.in. lib/Tool/Authentication.php. Umożliwia to wstrzyknięcie obiektu i zdalne wykonanie kodu, jeśli atakujący może kontrolować źródło serializowanych danych.
Oryginalny opis (angielski, źródło NVD)
An authenticated administrative user who can import or save DataObject class definitions can inject attacker-controlled composite index metadata and trigger unintended SQL execution in the backend. This issue affects pimcore: 12.3.3.