CVE-2026-55634

Pimcore, Açık Kaynaklı bir Veri ve Deneyim Yönetim Platformudur. 11.5.19, 12.3.10 ve 2026.1.6 sürümlerinden önce, /pimcore-studio/api/class/definition/configuration-view/detail/{id}/import sınıf tanımı içe aktarma uç noktası; lib/DataObject/ClassBuilder/FieldDefinitionPropertiesBuilder.php tarafından oluşturulan PHP özelliklerine ve models/DataObject/ClassDefinition/Helper/Dao.php tarafından ALTER TABLE tanımlayıcılarına, herhangi bir tanımlayıcı izin listesi olmaksızın iletilen bir DataObject alan adını kabul etmektedir. Nesne iznine sahip kimliği doğrulanmış bir kullanıcı, oluşturulan DataObject sınıfına PHP sözdizimi enjekte ederek, bu sınıftan bir nesne örneklendiğinde var/classes/DataObject/.php dosyalarında saldırgan tarafından kontrol edilen kodun çalışmasına neden olabilir ve ayrıca şema değiştirme ifadelerine SQL tanımlayıcı içeriği enjekte edebilir. Merkezi models/DataObject/ClassDefinition/Data.php::setName() doğrulaması; noktalı virgülleri, süslü parantezleri, ters tırnakları, boşlukları veya diğer tanımlayıcı olmayan karakterleri reddetmemekteydi. Bu sorun 11.5.19, 12.3.10 ve 2026.1.6 sürümlerinde düzeltilmiştir.