CVE-2026-45260
Açıklama
Pimcore, Açık Kaynaklı bir Veri ve Deneyim Yönetim Platformudur. 11.5.17 (LTS) ve 12.3.7 sürümlerinden önce, Pimcore'un WebDAV varlık uç noktası, bundles/CoreBundle/src/Controller/WebDavController.php içerisinde /asset/webdav{path} üzerinden kimlik doğrulama eklentisi olmaksızın bir MOVE işlemini açığa çıkarmaktadır ve models/Asset/WebDAV/Tree.php, mevcut bir Pimcore kullanıcısını veya yeniden adlandırma, silme, oluşturma ya da yayınlama izinlerini kontrol etmeden önce models/Asset.php aracılığıyla varlık mutasyonu ve silme işlemi gerçekleştirmektedir; bu durum yetkisiz varlık silmeye, taşımaya veya üzerine yazmaya olanak tanır. Bu sorun 11.5.17 (LTS) ve 12.3.7 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- pimcore/pimcore12.3.7, 2026.1.3, 11.5.17 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| pimcore/pimcorePackagist | 12.0.0-RC1 ≤ v < 12.3.7, 2026.1.0 ≤ v < 2026.1.3, v < 11.5.17 | 12.3.7, 2026.1.3, 11.5.17 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.