CVE-2026-55634

总结

Pimcore 是一个开源的数据与体验管理平台。在 11.5.19、12.3.10 和 2026.1.6 版本之前，类定义导入端点 /pimcore-studio/api/class/definition/configuration-view/detail/{id}/import 接受一个 DataObject 字段名称，该名称由 lib/DataObject/ClassBuilder/FieldDefinitionPropertiesBuilder.php 在生成 PHP 属性时以及由 models/DataObject/ClassDefinition/Helper/Dao.php 在生成 ALTER TABLE 标识符时发出，但未经过标识符白名单过滤。拥有 objects 权限的已认证用户可以将 PHP 语法注入到生成的 DataObject 类中，导致当该类的对象被实例化时，攻击者控制的代码在生成的 var/classes/DataObject/.php 文件中运行，并且还可以将 SQL 标识符内容注入到修改表结构的语句中。中央的 models/DataObject/ClassDefinition/Data.php::setName() 验证未拒绝分号、花括号、反引号、空格或其他非标识符字符。此问题已在 11.5.19、12.3.10 和 2026.1.6 版本中修复。

• 1day-archive研究

  对最近披露的 CVE 进行技术深度剖析和根本原因分析——逆向工程补丁、构建概念验证（PoC），并在 1 天窗口期内记录利用技术。