CVE-2026-55634

Résumé

Pimcore est une plateforme Open Source de gestion des données et de l'expérience. Avant les versions 11.5.19, 12.3.10 et 2026.1.6, le point de terminaison d'importation de définition de classe /pimcore-studio/api/class/definition/configuration-view/detail/{id}/import accepte un nom de champ DataObject qui est émis sans liste blanche d'identifiants par lib/DataObject/ClassBuilder/FieldDefinitionPropertiesBuilder.php dans les propriétés PHP générées et par models/DataObject/ClassDefinition/Helper/Dao.php dans les identifiants ALTER TABLE. Un utilisateur authentifié disposant de la permission objects peut injecter une syntaxe PHP dans la classe DataObject générée, provoquant l'exécution de code contrôlé par l'attaquant dans les fichiers var/classes/DataObject/.php générés lorsqu'un objet de cette classe est instancié, et peut également injecter du contenu d'identifiant SQL dans les instructions de modification de schéma. La validation centrale models/DataObject/ClassDefinition/Data.php::setName() n'a pas rejeté les points-virgules, les accolades, les backticks, les espaces ou d'autres caractères non identifiants. Ce problème est corrigé dans les versions 11.5.19, 12.3.10 et 2026.1.6.

• 1day-archiveRecherche

  Analyses techniques approfondies et analyses des causes racines des CVE récemment divulguées - rétro-ingénierie des correctifs, création de preuves de concept, et documentation des techniques d'exploitation dans la fenêtre 1-day.