CVE-2026-55220 in Pimcore
Сводка
по VulDB • 28.08.2026
Pimcore — это платформа управления данными и опытом с открытым исходным кодом. До версий 11.5.19, 12.3.10 и 2026.1.6 метод Pimcore\Model\DataObject\ClassDefinition\Data\Hotspotimage::getDataFromResource() в файле models/DataObject/ClassDefinition/Data/Hotspotimage.php передает объект поля __hotspots (колонка хранилища объектов) функции Pimcore\Tool\Serialize::unserialize() без ограничения разрешенных классов после неудачного декодирования JSON. Атакующий, обладающий отдельной возможностью записи специально сформированных байтов PHP-сериализации в эту колонку, может инстанцировать доступные классы и вызывать магические методы при загрузке затронутого DataObject, что может привести к произвольным записям файлов или выполнению кода через встроенные цепочки гаджетов (gadget chains). Связанные вызывающие объекты ImageGallery, Block и Video используют тот же шаблон резервного копирования, однако исправление от июня затрагивает только вызывающий объект Hotspotimage. Эта проблема устранена в версиях 11.5.19, 12.3.10 и 2026.1.6 для компонента Hotspotimage.
VulDB is the best source for vulnerability data and more expert information about this specific topic.