CVE-2026-55634
KrytyczneCVSS 9.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 38 - wyżej niż 38% wszystkich znanych CVE
Streszczenie
Pimcore przed wersjami 11.5.19, 12.3.10 i 2026.1.6 ma podatność w punkcie końcowym importu definicji klas, gdzie pole nazwy DataObject jest emitowane bez listy dozwolonych identyfikatorów, co pozwala uwierzytelnionemu użytkownikowi z uprawnieniami obiektów na wstrzyknięcie składni PHP do generowanych klas DataObject oraz wstrzyknięcie treści identyfikatorów SQL do instrukcji zmieniających schemat. Walidacja w setName() nie odrzucała średników, nawiasów klamrowych, backticków, spacji ani innych znaków nieidentyfikatorowych.
Ocena ryzyka
Ryzyko obejmuje wykonanie dowolnego kodu PHP na serwerze oraz modyfikację schematu bazy danych, co może prowadzić do pełnego przejęcia systemu i naruszenia integralności danych.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie Pimcore do wersji 11.5.19, 12.3.10 lub 2026.1.6, które zawierają poprawkę.
Inne podatności w Pimcore
Zobacz wszystkie- CVE-2026-109392Średnie
Pimcore do wersji 2026.3.1 zawiera podatność przechowywanego cross-site scripting, która pozwala uwierzytelnionym użytkownikom backendu na wstrzykiwanie skryptów poprzez przechowywanie nieuciekanych URL-i w polach ExternalImage.
- CVE-2026-5394Wysokie
Użytkownik administracyjny, który ma możliwość importowania lub zapisywania definicji klas DataObject, może wstrzykiwać kontrolowane przez atakującego metadane indeksu kompozytowego, co prowadzi do niezamierzonego wykonania SQL w backendzie.
- CVE-2026-23493Wysokie
Pimcore to platforma open source do zarządzania danymi i doświadczeniami. Przed wersjami 12.3.1 i 11.5.14 plik http_error_log przechowuje zmienne $_COOKIE i $_SERVER, co może ujawniać wrażliwe informacje, takie jak hasła do baz danych, dane sesji cookie i inne szczegóły, dostępne przez backend Pimcore.
- CVE-2026-23492Wysokie
Pimcore to platforma zarządzania danymi i doświadczeniami typu open source. Przed wersjami 12.3.1 i 11.5.14 niekompletna poprawka SQL injection w API Admin Search Find pozwala uwierzytelnionemu atakującemu na przeprowadzenie ślepego SQL injection. Mimo że CVE-2023-30848 próbował złagodzić SQL injection przez usunięcie komentarzy SQL (--) i wychwytywanie błędów składni, poprawka jest niewystarczająca. Atakujący mogą nadal wstrzykiwać ładunki SQL, które nie polegają na komentarzach, i wywnioskować informacje z bazy danych za pomocą technik ślepych. Luka dotyczy interfejsu administracyjnego i może prowadzić do ujawnienia informacji z bazy danych. Luka została naprawiona w wersjach 12.3.1 i 11.5.14.
- CVE-2015-4426Wysokie
Podatność SQL injection w pimcore przed wersją 3473 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr filtru w admin/asset/grid-proxy.
- CVE-2026-55220Krytyczne
Pimcore przed wersjami 11.5.19, 12.3.10 i 2026.1.6 zawiera podatność w metodzie Hotspotimage::getDataFromResource(), która przekazuje kolumnę __hotspots do funkcji Pimcore\Tool\Serialize::unserialize() bez ograniczeń dozwolonych klas po nieudanym dekodowaniu JSON. Atakujący z możliwością zapisu spreparowanych bajtów serializacji PHP do tej kolumny może utworzyć instancje dostępnych klas i wywołać metody magiczne, co może prowadzić do zapisu dowolnych plików lub wykonania kodu. Problem naprawiono dla Hotspotimage w wersjach 11.5.19, 12.3.10 i 2026.1.6.
- CVE-2026-55416Wysokie
Pimcore przed wersjami 11.5.19, 12.3.10 i 2026.1.6 pozwala uwierzytelnionemu użytkownikowi z uprawnieniem reports_config na wstrzyknięcie fragmentów SQL do pól sql, from, where i groupby w konfiguracji raportów. Wykonanie raportu może ujawnić, zmodyfikować lub usunąć dowolne dane w bazie.
- CVE-2026-55072Wysokie
Pimcore przed wersją 2026.1.5 pozwala uwierzytelnionemu użytkownikowi z uprawnieniem objects na przesłanie złośliwego UID definicji klasy, który jest używany w zapytaniach SQL bez odpowiedniego cytowania. Może to prowadzić do odczytu lub modyfikacji dowolnych tabel bazy danych, w tym ujawnienia hashy haseł.
- CVE-2026-45704Wysokie
Pimcore przed wersjami 11.5.17 (LTS) i 12.3.6 ma niespójną autoryzację między listą raportów a szczegółami raportu w CustomReports. Użytkownik backendu z niskimi uprawnieniami i uprawnieniem 'reports' może odczytać nieudostępniony raport, znając jego nazwę, uzyskując dostęp do metadanych, konfiguracji źródła danych i ustawień udostępniania.
- CVE-2026-45260Wysokie
Podatność w Pimcore przed wersjami 11.5.17 (LTS) i 12.3.7. Endpoint WebDAV `/asset/webdav{path}` umożliwia operację MOVE bez uwierzytelnienia, co pozwala nieautoryzowanemu atakującemu na usuwanie, przenoszenie lub nadpisywanie zasobów.
Oryginalny opis (angielski, źródło NVD)
Pimcore is an Open Source Data & Experience Management Platform. Prior to 11.5.19, 12.3.10, and 2026.1.6, the class-definition import endpoint /pimcore-studio/api/class/definition/configuration-view/detail/{id}/import accepts a DataObject field name that is emitted without an identifier allowlist by lib/DataObject/ClassBuilder/FieldDefinitionPropertiesBuilder.php into generated PHP properties and by models/DataObject/ClassDefinition/Helper/Dao.php into ALTER TABLE identifiers. An authenticated user with the objects permission can inject PHP syntax into the generated DataObject class, causing attacker-controlled code in generated var/classes/DataObject/.php files to run when an object of that class is instantiated, and can also inject SQL identifier content into schema-changing statements. The central models/DataObject/ClassDefinition/Data.php::setName() validation did not reject semicolons, braces, backticks, spaces, or other non-identifier characters. This issue is fixed in versions 11.5.19, 12.3.10, and 2026.1.6.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS