CVE-2026-55634

Pimcore Açıq Mənbəli Data & Experience Management Platformasıdır. 11.5.19, 12.3.10 və 2026.1.6 versiyalarından əvvəl `/pimcore-studio/api/class/definition/configuration-view/detail/{id}/import` klas tərifinin idxal nöqtəsi (endpoint), `lib/DataObject/ClassBuilder/FieldDefinitionPropertiesBuilder.php` tərəfindən generasiya edilmiş PHP xüsusiyyətlərinə və `models/DataObject/ClassDefinition/Helper/Dao.php` tərəfindən ALTER TABLE identifikatorlarına ötürülən, identifikator icazə siyahısı (allowlist) olmadan qəbul edilən bir DataObject sahə adını dəstəkləyir. Obyektlər icazəsinə malik autentifikasiya olunmuş istifadəçi, generasiya edilmiş DataObject klasına PHP sintaksisini inyeksiya edə bilər ki, bu da həmin klasın obyekti instansiya edildikdə generasiya edilmiş `var/classes/DataObject/.php` fayllarında hücumçu tərəfindən idarə olunan kodun işləməsinə səbəb olar; həmçinin sxemi dəyişdirən sorğulara SQL identifikator məzmununu inyeksiya edə bilər. Mərkəzi `models/DataObject/ClassDefinition/Data.php::setName()` validasiyası nöqtəli vergülləri, mötərizələri, geri dırnaqları (backtick), boşluqları və ya digər qeyri-identifikator simvollarını rədd etmir. Bu problem 11.5.19, 12.3.10 və 2026.1.6 versiyalarında düzəldilmişdir.