CVE-2026-55634 in Pimcore
Sumário
de VulDB • 29/08/2026
O Pimcore é uma plataforma de gerenciamento de dados e experiências Open Source. Antes das versões 11.5.19, 12.3.10 e 2026.1.6, o endpoint de importação de class-definition /pimcore-studio/api/class/definition/configuration-view/detail/{id}/import aceita um nome de campo DataObject que é emitido sem uma lista permitida (allowlist) de identificadores pelo lib/DataObject/ClassBuilder/FieldDefinitionPropertiesBuilder.php nas propriedades PHP geradas e pelo models/DataObject/ClassDefinition/Helper/Dao.php nos identificadores ALTER TABLE. Um usuário autenticado com permissão para objetos pode injetar sintaxe PHP na classe DataObject gerada, fazendo com que código controlado pelo atacante seja executado em arquivos .php de var/classes/DataObject/. quando uma instância dessa classe é criada, e também pode injectar conteúdo de identificadores SQL em instruções que alteram o esquema. A validação central em models/DataObject/ClassDefinition/Data.php::setName() não rejeitava ponto-e-vírgulas, chaves, crases, espaços ou outros caracteres não permitidos como identificadores. Este problema foi corrigido nas versões 11.5.19, 12.3.10 e 2026.1.6.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.