CVE-2026-55416
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 47 - wyżej niż 47% wszystkich znanych CVE
Streszczenie
Pimcore przed wersjami 11.5.19, 12.3.10 i 2026.1.6 pozwala uwierzytelnionemu użytkownikowi z uprawnieniem reports_config na wstrzyknięcie fragmentów SQL do pól sql, from, where i groupby w konfiguracji raportów. Wykonanie raportu może ujawnić, zmodyfikować lub usunąć dowolne dane w bazie.
Ocena ryzyka
Ryzyko obejmuje pełną kompromitację bazy danych, w tym ujawnienie poufnych danych, ich modyfikację lub usunięcie, co może prowadzić do naruszenia integralności systemu.
Rekomendacja
Zaleca się aktualizację Pimcore do wersji 11.5.19, 12.3.10 lub 2026.1.6 oraz ograniczenie uprawnień reports_config tylko do zaufanych użytkowników.
Inne podatności w Pimcore
Zobacz wszystkie- CVE-2026-5394Wysokie
Użytkownik administracyjny, który ma możliwość importowania lub zapisywania definicji klas DataObject, może wstrzykiwać kontrolowane przez atakującego metadane indeksu kompozytowego, co prowadzi do niezamierzonego wykonania SQL w backendzie.
- CVE-2026-23493Wysokie
Pimcore to platforma open source do zarządzania danymi i doświadczeniami. Przed wersjami 12.3.1 i 11.5.14 plik http_error_log przechowuje zmienne $_COOKIE i $_SERVER, co może ujawniać wrażliwe informacje, takie jak hasła do baz danych, dane sesji cookie i inne szczegóły, dostępne przez backend Pimcore.
- CVE-2026-23492Wysokie
Pimcore to platforma zarządzania danymi i doświadczeniami typu open source. Przed wersjami 12.3.1 i 11.5.14 niekompletna poprawka SQL injection w API Admin Search Find pozwala uwierzytelnionemu atakującemu na przeprowadzenie ślepego SQL injection. Mimo że CVE-2023-30848 próbował złagodzić SQL injection przez usunięcie komentarzy SQL (--) i wychwytywanie błędów składni, poprawka jest niewystarczająca. Atakujący mogą nadal wstrzykiwać ładunki SQL, które nie polegają na komentarzach, i wywnioskować informacje z bazy danych za pomocą technik ślepych. Luka dotyczy interfejsu administracyjnego i może prowadzić do ujawnienia informacji z bazy danych. Luka została naprawiona w wersjach 12.3.1 i 11.5.14.
- CVE-2015-4426Wysokie
Podatność SQL injection w pimcore przed wersją 3473 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr filtru w admin/asset/grid-proxy.
- CVE-2026-55634Krytyczne
Pimcore przed wersjami 11.5.19, 12.3.10 i 2026.1.6 ma podatność w punkcie końcowym importu definicji klas, gdzie pole nazwy DataObject jest emitowane bez listy dozwolonych identyfikatorów, co pozwala uwierzytelnionemu użytkownikowi z uprawnieniami obiektów na wstrzyknięcie składni PHP do generowanych klas DataObject oraz wstrzyknięcie treści identyfikatorów SQL do instrukcji zmieniających schemat. Walidacja w setName() nie odrzucała średników, nawiasów klamrowych, backticków, spacji ani innych znaków nieidentyfikatorowych.
- CVE-2026-55220Krytyczne
Pimcore przed wersjami 11.5.19, 12.3.10 i 2026.1.6 zawiera podatność w metodzie Hotspotimage::getDataFromResource(), która przekazuje kolumnę __hotspots do funkcji Pimcore\Tool\Serialize::unserialize() bez ograniczeń dozwolonych klas po nieudanym dekodowaniu JSON. Atakujący z możliwością zapisu spreparowanych bajtów serializacji PHP do tej kolumny może utworzyć instancje dostępnych klas i wywołać metody magiczne, co może prowadzić do zapisu dowolnych plików lub wykonania kodu. Problem naprawiono dla Hotspotimage w wersjach 11.5.19, 12.3.10 i 2026.1.6.
- CVE-2026-55072Wysokie
Pimcore przed wersją 2026.1.5 pozwala uwierzytelnionemu użytkownikowi z uprawnieniem objects na przesłanie złośliwego UID definicji klasy, który jest używany w zapytaniach SQL bez odpowiedniego cytowania. Może to prowadzić do odczytu lub modyfikacji dowolnych tabel bazy danych, w tym ujawnienia hashy haseł.
- CVE-2026-45704Wysokie
Pimcore przed wersjami 11.5.17 (LTS) i 12.3.6 ma niespójną autoryzację między listą raportów a szczegółami raportu w CustomReports. Użytkownik backendu z niskimi uprawnieniami i uprawnieniem 'reports' może odczytać nieudostępniony raport, znając jego nazwę, uzyskując dostęp do metadanych, konfiguracji źródła danych i ustawień udostępniania.
- CVE-2026-45260Wysokie
Podatność w Pimcore przed wersjami 11.5.17 (LTS) i 12.3.7. Endpoint WebDAV `/asset/webdav{path}` umożliwia operację MOVE bez uwierzytelnienia, co pozwala nieautoryzowanemu atakującemu na usuwanie, przenoszenie lub nadpisywanie zasobów.
- CVE-2026-44739Wysokie
Pimcore przed wersjami 11.5.17 (LTS) i 12.3.6 zawiera podatność na wstrzykiwanie SQL w endpointcie columnConfigAction. Atakujący z uprawnieniami reports_config może wykonywać dowolne zapytania SELECT, używać UNION, niebezpiecznych funkcji bazodanowych oraz przeprowadzać ataki oparte na błędach, co prowadzi do wycieku lub manipulacji danymi.
Oryginalny opis (angielski, źródło NVD)
Pimcore is an Open Source Data & Experience Management Platform. Prior to 11.5.19, 12.3.10, and 2026.1.6, an authenticated user with reports_config permission can place attacker-controlled SQL fragments in the sql, from, where, and groupby fields of a Custom Reports configuration processed by bundles/CustomReportsBundle/src/Tool/Adapter/Sql.php. The buildQueryString() method concatenates these values into a database query, while a blacklist omits dangerous constructs such as additional data-manipulation statements, comments, subqueries, and multiple statements. The getData() method also previously interpolated offset and limit values into a LIMIT clause without integer casting. Executing the configured report reaches fetchAllAssociative() with the constructed query and can disclose, modify, or delete arbitrary database data. This issue is fixed in versions 11.5.19, 12.3.10, and 2026.1.6.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS