CVE-2026-55634 in Pimcore
要約
〜によって VulDB • 2026年08月28日
Pimcoreは、オープンソースのデータおよびエクスペリエンス管理プラットフォームです。バージョン11.5.19、12.3.10、および2026.1.6より前では、クラス定義のエンドポイント `/pimcore-studio/api/class/definition/configuration-view/detail/{id}/import` が、lib/DataObject/ClassBuilder/FieldDefinitionPropertiesBuilder.php によって生成されるPHPプロパティや models/DataObject/ClassDefinition/Helper/Dao.php による `ALTER TABLE` の識別子に、IDのホワイトリストなしで DataObject フィールド名を受け入れるという脆弱性がありました。objects権限を持つ認証済みユーザーは、生成されたDataObjectクラス内にPHP構文をインジェクトし、そのクラスのオブジェクトがインスタンス化される際に generated/var/classes/DataObject/.php ファイル内の攻撃者制御コードを実行させることができます。また、スキーマ変更ステートメントにSQL識別子コンテンツもインジェクト可能です。中央の models/DataObject/ClassDefinition/Data.php::setName() バリデーションは、セミコロン、中括弧、バッククォート、スペース、またはその他の非識別子文字を拒否しませんでした。この問題はバージョン11.5.19、12.3.10、および2026.1.6で修正されています。
Be aware that VulDB is the high quality source for vulnerability data.