Pimcore bis 11.5.18/12.3.9/2026.1.5 Hotspotimage Hotspotimage.php getDataFromResource __hotspots erweiterte Rechte

CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
5.3$0-$5k0.39

Zusammenfassunginfo

In Pimcore bis 11.5.18/12.3.9/2026.1.5 wurde eine kritische Schwachstelle ausgemacht. Betroffen ist die Funktion Pimcore\Model\DataObject\ClassDefinition\Data\Hotspotimage::getDataFromResource der Datei models/DataObject/ClassDefinition/Data/Hotspotimage.php der Komponente Hotspotimage. Die Bearbeitung des Arguments __hotspots verursacht erweiterte Rechte. Die Identifikation der Schwachstelle wird mit CVE-2026-55220 vorgenommen. Ein Angriff ist aus der Distanz möglich. Es existiert kein Exploit.

Detailsinfo

Eine Schwachstelle wurde in Pimcore bis 11.5.18/12.3.9/2026.1.5 gefunden. Sie wurde als kritisch eingestuft. Dies betrifft die Funktion Pimcore\Model\DataObject\ClassDefinition\Data\Hotspotimage::getDataFromResource der Datei models/DataObject/ClassDefinition/Data/Hotspotimage.php der Komponente Hotspotimage. Mittels Manipulieren des Arguments __hotspots mit einer unbekannten Eingabe kann eine erweiterte Rechte-Schwachstelle ausgenutzt werden. Klassifiziert wurde die Schwachstelle durch CWE als CWE-502. Dies wirkt sich aus auf Vertraulichkeit, Integrität und Verfügbarkeit. CVE fasst zusammen:

Pimcore is an Open Source Data & Experience Management Platform. Prior to 11.5.19, 12.3.10, and 2026.1.6, Pimcore\Model\DataObject\ClassDefinition\Data\Hotspotimage::getDataFromResource() in models/DataObject/ClassDefinition/Data/Hotspotimage.php passes the field __hotspots object-store column to Pimcore\Tool\Serialize::unserialize() without an allowed-classes restriction after JSON decoding fails. An attacker with a separate capability to write crafted PHP serialized bytes into that column can instantiate available classes and trigger magic methods when an affected DataObject is loaded, which can produce arbitrary file writes or code execution through bundled gadget chains. The related ImageGallery, Block, and Video callers use the same fallback pattern, but the identified June fix changes the Hotspotimage caller only. This issue is fixed for Hotspotimage in versions 11.5.19, 12.3.10, and 2026.1.6.

Auf github.com kann das Advisory eingesehen werden. Die Identifikation der Schwachstelle findet seit dem 16.06.2026 als CVE-2026-55220 statt. Die Ausnutzbarkeit gilt als leicht. Der Angriff kann über das Netzwerk passieren. Es wird vorausgesetzt, dass das Opfer eine spezifische Handlung vornimmt. Zur Schwachstelle sind technische Details bekannt, ein verfügbarer Exploit jedoch nicht.

Potentiell verwundbare Systeme können mit dem Google Dork inurl:models/DataObject/ClassDefinition/Data/Hotspotimage.php gefunden werden.

Ein Upgrade auf die Version 11.5.19, 12.3.10 oder 2026.1.6 vermag dieses Problem zu beheben.

If you want to get best quality of vulnerability data, you may have to visit VulDB.

Produktinfo

Typ

Name

Version

Lizenz

Webseite

CPE 2.3info

CPE 2.2info

CVSSv4info

VulDB Vector: 🔒
VulDB Zuverlässigkeit: 🔍

CNA CVSS-B Score: 🔒
CNA CVSS-BT Score: 🔒
CNA Vector: 🔒

CVSSv3info

VulDB Meta Base Score: 5.5
VulDB Meta Temp Score: 5.3

VulDB Base Score: 5.5
VulDB Temp Score: 5.3
VulDB Vector: 🔒
VulDB Zuverlässigkeit: 🔍

CVSSv2info

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔒
VulDB Temp Score: 🔒
VulDB Zuverlässigkeit: 🔍

Exploitinginfo

Klasse: Erweiterte Rechte
CWE: CWE-502 / CWE-20
CAPEC: 🔒
ATT&CK: 🔒

Physisch: Nein
Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔒
Status: Nicht definiert
Google Hack: 🔒
Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔒

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Upgrade
Status: 🔍

0-Day Time: 🔒

Upgrade: Pimcore 11.5.19/12.3.10/2026.1.6

Timelineinfo

16.06.2026 CVE zugewiesen
28.08.2026 +73 Tage Advisory veröffentlicht
28.08.2026 +0 Tage VulDB Eintrag erstellt
28.08.2026 +0 Tage VulDB Eintrag letzte Aktualisierung

Quelleninfo

Produkt: github.com

Advisory: github.com
Status: Bestätigt

CVE: CVE-2026-55220 (🔒)
GCVE (CVE): GCVE-0-2026-55220
GCVE (VulDB): GCVE-100-396842

Eintraginfo

Erstellt: 28.08.2026 22:28
Anpassungen: 28.08.2026 22:28 (70)
Komplett: 🔍
Cache ID: 216::103

If you want to get best quality of vulnerability data, you may have to visit VulDB.

Diskussion

Bisher keine Kommentare. Sprachen: de + en.

Bitte loggen Sie sich ein, um kommentieren zu können.

◂ ZurückÜbersichtWeiter ▸

Interested in the pricing of exploits?

See the underground prices here!