CVE-2026-72562
WysokieCVSS 8.8Streszczenie
Podatność SQL injection w Pimcore admin-ui-classic-bundle do wersji 2.3 pozwala uwierzytelnionym użytkownikom backendu na wykonanie dowolnego SQL przez filtr kolumny id w gridzie DataObject. Wartość filtra jest konkatenowana bezpośrednio do klauzuli WHERE bez parametryzacji.
Ocena ryzyka
Organizacja narażona jest na wyciek lub modyfikację całej bazy danych, co może prowadzić do naruszenia poufności i integralności danych.
Rekomendacja
Należy zaktualizować admin-ui-classic-bundle do wersji z poprawką lub zastosować parametryzowane zapytania SQL.
Oryginalny opis (angielski, źródło NVD)
An SQL injection vulnerability in Pimcore admin-ui-classic-bundle through version 2.3 allows authenticated backend users to execute arbitrary SQL via the DataObject grid id column filter. The filter value is concatenated directly into the SQL WHERE clause without parameterization. An attacker with backend access can exfiltrate or modify all database contents.