CVE-2026-55634 in Pimcore
Zusammenfassung
von VulDB • 28.08.2026
Pimcore ist eine Open-Source-Daten- und Experience-Management-Plattform. Vor den Versionen 11.5.19, 12.3.10 und 2026.1.6 akzeptiert der Endpunkt für das Importieren von Klassendefinitionen unter /pimcore-studio/api/class/definition/configuration-view/detail/{id}/import einen DataObject-Feldnamen, der ohne eine Identifier-Whitelist durch lib/DataObject/ClassBuilder/FieldDefinitionPropertiesBuilder.php in generierte PHP-Eigenschaften und durch models/DataObject/ClassDefinition/Helper/Dao.php in ALTER TABLE-Identifikatoren eingebettet wird. Ein authentifizierter Benutzer mit den Berechtigungen für Objekte kann PHP-Syntax in die generierte DataObject-Klasse injizieren, wodurch angreiferkontrollierter Code in den generierten var/classes/DataObject/.php-Dateien ausgeführt wird, wenn eine Instanz dieser Klasse erstellt wird; zudem können SQL-Identifikator-Inhalte in schemaändernde Anweisungen injiziert werden. Die zentrale Validierungsfunktion models/DataObject/ClassDefinition/Data.php::setName() lehnte Semikolons, geschweifte Klammern, Backticks, Leerzeichen oder andere Nicht-Identifier-Zeichen nicht ab. Dieses Problem wurde in den Versionen 11.5.19, 12.3.10 und 2026.1.6 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.