Zaloguj się
Deutsch English Español Polski
Średnia

Cross-site Scripting (XSS) in Admin Login too many attempts notice

  • Ujawniono: 27.04.2023
  • Aktualizacja: 11.10.2026 10:22

Impact

Malicious JavaScript has access to all the same objects as the rest of the web page, including access to cookies and local storage, which are often used to store session tokens. If an attacker can obtain a user's session cookie, they can then impersonate that user.

Furthermore, JavaScript can read and make arbitrary modifications to the contents of a page being displayed to a user. Therefore, XSS in conjunction with some clever social engineering opens up a lot of possibilities for an attacker.

Patches

Update to version 10.5.21 or apply this patch manually https://github.com/pimcore/pimcore/commit/66f1089fb1b9bcd575bfce9b1d4abb0f0499df11.patch

Workarounds

Apply patch https://github.com/pimcore/pimcore/commit/66f1089fb1b9bcd575bfce9b1d4abb0f0499df11.patch manually.

References

https://huntr.dev/bounties/cf3901ac-a649-478f-ab08-094ef759c11d/

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka Composer pimcore/pimcore < 10.5.21 10.5.21

Odnośniki

Ocena CVSS 6.1/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
Słabość (CWE)
CWE-79
Platforma
Composer
Paczka
pimcore/pimcore
Ujawniono
27.04.2023
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-fq95-rx4q-qgg2 - CC BY 4.0

Historia podatności: pimcore/pimcore

Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (135) w archiwum
Wszystkich wpisów
135
Pierwsza → ostatnia
12.2019 09.2026
Bez poprawki
3
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 5
  • Wysoka 40
  • Średnia 90

Ujawnienia w latach

Istotność:
  1. Cross-site Scripting (XSS) in Admin Login too many attempts notice ten wpis
    Średnia · 6.1 CVE-2023-2341 < 10.5.21 10.5.21
  2. Pimcore: SQL Injection in Custom Reports via Malicious Report Configuration
    Wysoka · 8.8 CVE-2026-55416 >= 2026.1.0, < 2026.1.6, >= 12.0.0-RC1, < 12.3.10, < 11.5.19 2026.1.6, 12.3.10, 11.5.19
  3. Pimcore Vulnerable to Remote Code Execution via DataObject Class-Definition Field Name
    Krytyczna · 9.9 CVE-2026-55634 < 12.3.10, >= 2026.1.0, < 2026.1.6 12.3.10, 2026.1.6
  4. Pimcore Hotspotimage getDataFromResource() unrestricted Serialize::unserialize over object-store column (PHP Object Injection, CWE-502)
    Krytyczna CVE-2026-55220 >= 2026.1.0, < 2026.1.6, < 12.3.10 2026.1.6, 12.3.10
  5. Pimcore: ClassDefinition UID regex missing end anchor allows SQL injection via Block.php unquoted table name
    Wysoka · 8.5 CVE-2026-55072 >= 2026.1.0, < 2026.1.5, < 12.3.9 2026.1.5, 12.3.9
  6. Pimcore CMS Twig Sandbox Bypass via SecurityPolicy checkMethodAllowed
    Wysoka · 7.2 CVE-2026-11407 >= 12.0.0-RC1, <= 12.3.8, <= 11.5.14.1 brak poprawki
  7. Pimcore Platform - SQL Injection in DataObject composite index handling during class definition import/save
    Wysoka CVE-2026-5394 >= 12.0.0-RC1, < 12.3.7, < 11.5.17, >= 2026.1.0, < 2026.1.3 12.3.7, 11.5.17, 2026.1.3
  8. Pimcore has a CustomReports Share Bypass
    Wysoka CVE-2026-45704 >= 12.0.0-RC1, < 12.3.6, < 11.5.17, >= 2026.1.0, < 2026.1.2 12.3.6, 11.5.17, 2026.1.2
  9. Pimcore: Missing Authorization in WebDAV MOVE via unchecked asset move handling
    Wysoka · 8.1 CVE-2026-45260 >= 12.0.0-RC1, < 12.3.7, >= 2026.1.0, < 2026.1.3, < 11.5.17 12.3.7, 2026.1.3, 11.5.17
  10. Pimcore has Unsafe PHP Deserialization in Multiple Locations Without allowed_classes Restriction
    Wysoka · 8.0 CVE-2026-45162 >= 12.0.0-RC1, < 12.3.7, < 11.5.17, >= 2026.1.0, < 2026.1.3 12.3.7, 11.5.17, 2026.1.3
  11. Pimcore Vulnerable to SQL Injection in Custom Reports Column Configuration
    Wysoka · 8.7 CVE-2026-44739 >= 2026.1.0, < 2026.1.2, < 11.5.17, >= 12.0.0-RC1, < 12.3.6 2026.1.2, 11.5.17, 12.3.6
  12. Pimcore ENV Variables and Cookie Informations are exposed in http_error_log
    Wysoka · 8.6 CVE-2026-23493 >= 12.0.0-RC1, < 12.3.1, < 11.5.14 12.3.1, 11.5.14
  13. Pimcore Has an Incomplete Patch for CVE-2023-30848
    Wysoka · 8.8 CVE-2026-23492 >= 12.0.0-RC1, < 12.3.1, < 11.5.14 12.3.1, 11.5.14
  14. Pimcore Authenticated Stored Cross-Site Scripting (XSS) Via Search Document
    Wysoka · 8.1 CVE-2024-11954 >= 11.4.2, < 11.5.3 11.5.3
  15. Pimcore includes vulnerable PHPOffice/PhpSpreadsheet
    Wysoka · 8.8 ghsa-hq76-662x-7mw4 >= 10.6.9.0, < 10.6.9.12, >= 11.1.0.0, < 11.1.6.11 10.6.9.12, 11.1.6.11
  16. Flooding Server with Thumbnail files
    Wysoka · 7.5 CVE-2024-32871 >= 11.0.0, < 11.2.4 11.2.4
  17. Pimcore SQL Injection in Admin Grid Filter API through Multiselect::getFilterConditionExt()
    Wysoka · 8.8 CVE-2023-47637 < 11.1.1 11.1.1
  18. Pimcore vulnerable to Exposure of Sensitive Information to an Unauthorized Actor
    Wysoka · 7.6 CVE-2023-3819 < 10.6.4 10.6.4
  19. Pimcore vulnerable to SQL Injection in Dataobjects sorting
    Wysoka · 7.2 CVE-2023-3820 < 10.6.4 10.6.4
  20. Pimcore SQL Injection vulnerability
    Wysoka · 7.2 CVE-2023-3673 < 10.5.24 10.5.24
  21. SQL Injection in AssetController
    Wysoka · 8.8 CVE-2023-2338 < 10.5.21 10.5.21
Pokaż więcej (20) Widać 21 z 46

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.