CVE-2026-5394
WysokieStreszczenie
Użytkownik administracyjny, który ma możliwość importowania lub zapisywania definicji klas DataObject, może wstrzykiwać kontrolowane przez atakującego metadane indeksu kompozytowego, co prowadzi do niezamierzonego wykonania SQL w backendzie.
Ocena ryzyka
Ta podatność może prowadzić do nieautoryzowanego dostępu do danych oraz potencjalnego usunięcia lub modyfikacji danych w systemie, co stanowi poważne zagrożenie dla integralności bazy danych.
Rekomendacja
Zaleca się ograniczenie uprawnień użytkowników administracyjnych oraz aktualizację do najnowszej wersji oprogramowania, aby zminimalizować ryzyko związane z tą podatnością.
Inne podatności w pimcore: 12.3.3
Zobacz wszystkie- CVE-2026-23493Wysokie
Pimcore to platforma open source do zarządzania danymi i doświadczeniami. Przed wersjami 12.3.1 i 11.5.14 plik http_error_log przechowuje zmienne $_COOKIE i $_SERVER, co może ujawniać wrażliwe informacje, takie jak hasła do baz danych, dane sesji cookie i inne szczegóły, dostępne przez backend Pimcore.
- CVE-2026-23492Wysokie
Pimcore to platforma zarządzania danymi i doświadczeniami typu open source. Przed wersjami 12.3.1 i 11.5.14 niekompletna poprawka SQL injection w API Admin Search Find pozwala uwierzytelnionemu atakującemu na przeprowadzenie ślepego SQL injection. Mimo że CVE-2023-30848 próbował złagodzić SQL injection przez usunięcie komentarzy SQL (--) i wychwytywanie błędów składni, poprawka jest niewystarczająca. Atakujący mogą nadal wstrzykiwać ładunki SQL, które nie polegają na komentarzach, i wywnioskować informacje z bazy danych za pomocą technik ślepych. Luka dotyczy interfejsu administracyjnego i może prowadzić do ujawnienia informacji z bazy danych. Luka została naprawiona w wersjach 12.3.1 i 11.5.14.
- CVE-2015-4426Wysokie
Podatność SQL injection w pimcore przed wersją 3473 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr filtru w admin/asset/grid-proxy.
- CVE-2026-55634Krytyczne
Pimcore przed wersjami 11.5.19, 12.3.10 i 2026.1.6 ma podatność w punkcie końcowym importu definicji klas, gdzie pole nazwy DataObject jest emitowane bez listy dozwolonych identyfikatorów, co pozwala uwierzytelnionemu użytkownikowi z uprawnieniami obiektów na wstrzyknięcie składni PHP do generowanych klas DataObject oraz wstrzyknięcie treści identyfikatorów SQL do instrukcji zmieniających schemat. Walidacja w setName() nie odrzucała średników, nawiasów klamrowych, backticków, spacji ani innych znaków nieidentyfikatorowych.
- CVE-2026-55220Krytyczne
Pimcore przed wersjami 11.5.19, 12.3.10 i 2026.1.6 zawiera podatność w metodzie Hotspotimage::getDataFromResource(), która przekazuje kolumnę __hotspots do funkcji Pimcore\Tool\Serialize::unserialize() bez ograniczeń dozwolonych klas po nieudanym dekodowaniu JSON. Atakujący z możliwością zapisu spreparowanych bajtów serializacji PHP do tej kolumny może utworzyć instancje dostępnych klas i wywołać metody magiczne, co może prowadzić do zapisu dowolnych plików lub wykonania kodu. Problem naprawiono dla Hotspotimage w wersjach 11.5.19, 12.3.10 i 2026.1.6.
- CVE-2026-109392Średnie
Pimcore do wersji 2026.3.1 zawiera podatność przechowywanego cross-site scripting, która pozwala uwierzytelnionym użytkownikom backendu na wstrzykiwanie skryptów poprzez przechowywanie nieuciekanych URL-i w polach ExternalImage.
- CVE-2026-55416Wysokie
Pimcore przed wersjami 11.5.19, 12.3.10 i 2026.1.6 pozwala uwierzytelnionemu użytkownikowi z uprawnieniem reports_config na wstrzyknięcie fragmentów SQL do pól sql, from, where i groupby w konfiguracji raportów. Wykonanie raportu może ujawnić, zmodyfikować lub usunąć dowolne dane w bazie.
- CVE-2026-55072Wysokie
Pimcore przed wersją 2026.1.5 pozwala uwierzytelnionemu użytkownikowi z uprawnieniem objects na przesłanie złośliwego UID definicji klasy, który jest używany w zapytaniach SQL bez odpowiedniego cytowania. Może to prowadzić do odczytu lub modyfikacji dowolnych tabel bazy danych, w tym ujawnienia hashy haseł.
- CVE-2026-45704Wysokie
Pimcore przed wersjami 11.5.17 (LTS) i 12.3.6 ma niespójną autoryzację między listą raportów a szczegółami raportu w CustomReports. Użytkownik backendu z niskimi uprawnieniami i uprawnieniem 'reports' może odczytać nieudostępniony raport, znając jego nazwę, uzyskując dostęp do metadanych, konfiguracji źródła danych i ustawień udostępniania.
- CVE-2026-45260Wysokie
Podatność w Pimcore przed wersjami 11.5.17 (LTS) i 12.3.7. Endpoint WebDAV `/asset/webdav{path}` umożliwia operację MOVE bez uwierzytelnienia, co pozwala nieautoryzowanemu atakującemu na usuwanie, przenoszenie lub nadpisywanie zasobów.
Oryginalny opis (angielski, źródło NVD)
An authenticated administrative user who can import or save DataObject class definitions can inject attacker-controlled composite index metadata and trigger unintended SQL execution in the backend. This issue affects pimcore: 12.3.3.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS