CVE-2026-55634

Resumen

Pimcore es una plataforma de código abierto de gestión de datos y experiencias. Antes de las versiones 11.5.19, 12.3.10 y 2026.1.6, el endpoint de importación de definiciones de clases /pimcore-studio/api/class/definition/configuration-view/detail/{id}/import acepta un nombre de campo DataObject que se emite sin una lista blanca de identificadores por lib/DataObject/ClassBuilder/FieldDefinitionPropertiesBuilder.php en las propiedades PHP generadas y por models/DataObject/ClassDefinition/Helper/Dao.php en los identificadores de ALTER TABLE. Un usuario autenticado con el permiso de objetos puede inyectar sintaxis PHP en la clase DataObject generada, lo que provoca que el código controlado por el atacante en los archivos var/classes/DataObject/.php generados se ejecute cuando se instancia un objeto de esa clase, y también puede inyectar contenido de identificadores SQL en declaraciones que modifican el esquema. La validación central de models/DataObject/ClassDefinition/Data.php::setName() no rechazaba puntos y comas, llaves, comillas invertidas, espacios u otros caracteres que no son identificadores. Este problema se corrigió en las versiones 11.5.19, 12.3.10 y 2026.1.6.

• 1day-archiveInvestigación

  Análisis técnicos en profundidad y análisis de causa raíz de CVEs divulgados recientemente: ingeniería inversa de parches, creación de pruebas de concepto y documentación de técnicas de explotación en la ventana de 1 día.