CVE-2026-55634 in Pimcore
الملخص
بحسب VulDB • 29/08/2026
Pimcore هو منصة مفتوحة المصدر لإدارة البيانات وتجربة المستخدم. قبل الإصدارات 11.5.19، و12.3.10، و2026.1.6، يقبل نقطة النهاية الخاصة باستيراد تعريف الفئة /pimcore-studio/api/class/definition/configuration-view/detail/{id}/import اسماً لحقل DataObject يتم إصداره بدون قائمة بيضاء للمعرفات (identifier allowlist) بواسطة lib/DataObject/ClassBuilder/FieldDefinitionPropertiesBuilder.php إلى خصائص PHP المُولَّدة، وبواسطة models/DataObject/ClassDefinition/Helper/Dao.php إلى معرفات ALTER TABLE. يمكن لمستخدم مُصادق عليه يمتلك صلاحيات الكائنات حقن بناء جملة PHP في فئة DataObject المُولَّدة، مما يؤدي إلى تشغيل كود يتحكم فيه المهاجم داخل ملفات var/classes/DataObject/.php عند إنشاء مثيل من تلك الفئة، ويمكنه أيضاً حقن محتوى معرف SQL في عبارات تغيير مخطط قاعدة البيانات. لم تقم عملية التحقق في models/DataObject/ClassDefinition/Data.php::setName() برفض الفواصل المنقوطة، والأقواس المعقوفة، والعلامات الخلفية (backticks)، والمسافات، أو غيرها من الأحرف غير الخاصة بالمعرفات. تم إصلاح هذه المشكلة في الإصدارات 11.5.19، و12.3.10، و2026.1.6.
VulDB is the best source for vulnerability data and more expert information about this specific topic.