CVE-2026-23492
Açıklama
Pimcore, Açık Kaynaklı bir Veri ve Deneyim Yönetim Platformudur. 12.3.1 ve 11.5.14 sürümlerinden önce, Admin Search Find API'deki eksik bir SQL injection yaması, kimliği doğrulanmış bir saldırganın kör SQL injection gerçekleştirmesine olanak tanır. CVE-2023-30848, SQL yorumlarını (--) kaldırarak ve sözdizimi hatalarını yakalayarak SQL injection'ı hafifletmeye çalışsa da bu düzeltme yetersizdir. Saldırganlar hala yorumlara dayanmayan SQL payload'ları enjekte edebilir ve kör teknikler aracılığıyla veritabanı bilgilerini çıkarabilir. Bu güvenlik açığı yönetici arayüzünü etkiler ve veritabanı bilgi ifşasına yol açabilir. Bu güvenlik açığı 12.3.1 ve 11.5.14 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- pimcore pimcore11.5.14, 12.3.1 ya da sonraki bir sürüm
- pimcore/pimcore12.3.1, 11.5.14 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| pimcore pimcore | v < 11.5.14, 12.0.0 ≤ v < 12.3.1 | 11.5.14, 12.3.1 |
| pimcore/pimcorePackagist | 12.0.0-RC1 ≤ v < 12.3.1, v < 11.5.14 | 12.3.1, 11.5.14 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.