CVE-2026-55634

概要

Pimcoreは、オープンソースのデータ＆エクスペリエンス管理プラットフォームです。バージョン11.5.19、12.3.10、および2026.1.6より前のバージョンでは、クラス定義インポートエンドポイント `/pimcore-studio/api/class/definition/configuration-view/detail/{id}/import` が、`lib/DataObject/ClassBuilder/FieldDefinitionPropertiesBuilder.php` によって生成されたPHPプロパティと、`models/DataObject/ClassDefinition/Helper/Dao.php` によってALTER TABLE識別子に、識別子許可リストなしで出力されるDataObjectフィールド名を受け入れます。`objects` 権限を持つ認証済みユーザーは、生成されたDataObjectクラスにPHP構文を注入でき、生成された `var/classes/DataObject/.php` ファイル内の攻撃者制御コードが、そのクラスのオブジェクトがインスタンス化されたときに実行される可能性があります。また、スキーマ変更ステートメントにSQL識別子コンテンツを注入することもできます。中央の `models/DataObject/ClassDefinition/Data.php::setName()` 検証は、セミコロン、中括弧、バッククォート、スペース、その他の非識別子文字を拒否しませんでした。この問題は、バージョン11.5.19、12.3.10、および2026.1.6で修正されています。

• 1day-archive研究

  最近公開されたCVEに関する技術的な深掘りと根本原因の分析 - パッチのリバースエンジニアリング、概念実証（PoC）の構築、1-dayウィンドウ内での悪用手法の文書化。