CVE-2026-55634 in Pimcore
Resumen
por VulDB • 2026-08-29
Pimcore es una plataforma de gestión de datos y experiencias de código abierto. Antes de las versiones 11.5.19, 12.3.10 y 2026.1.6, el punto final de importación de definiciones de clase /pimcore-studio/api/class/definition/configuration-view/detail/{id}/import acepta un nombre de campo DataObject que se emite sin una lista blanca de identificadores por lib/DataObject/ClassBuilder/FieldDefinitionPropertiesBuilder.php en las propiedades PHP generadas y por models/DataObject/ClassDefinition/Helper/Dao.php en los identificadores ALTER TABLE. Un usuario autenticado con el permiso de objetos puede inyectar sintaxis PHP en la clase DataObject generada, lo que provoca la ejecución de código controlado por el atacante en los archivos var/classes/DataObject/.php cuando se instancia un objeto de esa clase; también puede inyectar contenido de identificadores SQL en sentencias que modifican el esquema. La validación central en models/DataObject/ClassDefinition/Data.php::setName() no rechazaba puntos y comas, llaves, acentos graves, espacios u otros caracteres no válidos para un identificador. Este problema se soluciona en las versiones 11.5.19, 12.3.10 y 2026.1.6.
If you want to get best quality of vulnerability data, you may have to visit VulDB.