Zaloguj się
Deutsch English Español Polski
Wysoka

Pimcore Authenticated Stored Cross-Site Scripting (XSS) Via Search Document

  • Ujawniono: 28.01.2025
  • Aktualizacja: 11.10.2026 10:22

Summary

A Stored Cross-Site Scripting (XSS) vulnerability in PIMCORE allows remote attackers to inject arbitrary web script or HTML via the PDF upload functionality. This can result in the execution of malicious scripts in the context of the user's browser when the PDF is viewed, leading to potential session hijacking, defacement of web pages, or unauthorized access to sensitive information.

Details

The vulnerability is present in the PDF upload functionality of the PIM Core Upload module. When a user uploads a PDF file, the application fails to properly sanitize the content, allowing embedded scripts to be executed when the PDF is viewed. The affected code is located in the file handling and rendering logic of the PDF upload feature.

PoC

  1. Log in as Administrator image

  2. Hover to Assets image

  3. Right click and click "Add Asset(s) > upload files image

  4. Upload malicious pdf image

  5. Click on search and select document image

  6. copy the path and open to a new tab

https://demo.pimcore.fun/admin/Sample C

image

  1. XSS PDF can be access without authentication.

image

Image showing no cookies indicator that there are no session currently in

image

Impact

This is a Stored Cross-Site Scripting (XSS) vulnerability. It impacts any user who views the malicious PDF, potentially leading to session hijacking, defacement of web pages, or unauthorized access to sensitive information. The severity is high due to the potential for significant impact on confidentiality and integrity.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka Composer pimcore/pimcore >= 11.4.2, < 11.5.3 11.5.3

Odnośniki

Ocena CVSS 8.1/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:H/A:N
Słabość (CWE)
CWE-79
Platforma
Composer
Paczka
pimcore/pimcore
Ujawniono
28.01.2025
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-xr3m-6gq6-22cg - CC BY 4.0

Historia podatności: pimcore/pimcore

Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (135) w archiwum
Wszystkich wpisów
135
Pierwsza → ostatnia
12.2019 09.2026
Bez poprawki
3
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 5
  • Wysoka 40
  • Średnia 90

Ujawnienia w latach

Istotność:
  1. Pimcore: SQL Injection in Custom Reports via Malicious Report Configuration
    Wysoka · 8.8 CVE-2026-55416 >= 2026.1.0, < 2026.1.6, >= 12.0.0-RC1, < 12.3.10, < 11.5.19 2026.1.6, 12.3.10, 11.5.19
  2. Pimcore Vulnerable to Remote Code Execution via DataObject Class-Definition Field Name
    Krytyczna · 9.9 CVE-2026-55634 < 12.3.10, >= 2026.1.0, < 2026.1.6 12.3.10, 2026.1.6
  3. Pimcore Hotspotimage getDataFromResource() unrestricted Serialize::unserialize over object-store column (PHP Object Injection, CWE-502)
    Krytyczna CVE-2026-55220 >= 2026.1.0, < 2026.1.6, < 12.3.10 2026.1.6, 12.3.10
  4. Pimcore: ClassDefinition UID regex missing end anchor allows SQL injection via Block.php unquoted table name
    Wysoka · 8.5 CVE-2026-55072 >= 2026.1.0, < 2026.1.5, < 12.3.9 2026.1.5, 12.3.9
  5. Pimcore CMS Twig Sandbox Bypass via SecurityPolicy checkMethodAllowed
    Wysoka · 7.2 CVE-2026-11407 >= 12.0.0-RC1, <= 12.3.8, <= 11.5.14.1 brak poprawki
  6. Pimcore Platform - SQL Injection in DataObject composite index handling during class definition import/save
    Wysoka CVE-2026-5394 >= 12.0.0-RC1, < 12.3.7, < 11.5.17, >= 2026.1.0, < 2026.1.3 12.3.7, 11.5.17, 2026.1.3
  7. Pimcore has a CustomReports Share Bypass
    Wysoka CVE-2026-45704 >= 12.0.0-RC1, < 12.3.6, < 11.5.17, >= 2026.1.0, < 2026.1.2 12.3.6, 11.5.17, 2026.1.2
  8. Pimcore: Missing Authorization in WebDAV MOVE via unchecked asset move handling
    Wysoka · 8.1 CVE-2026-45260 >= 12.0.0-RC1, < 12.3.7, >= 2026.1.0, < 2026.1.3, < 11.5.17 12.3.7, 2026.1.3, 11.5.17
  9. Pimcore has Unsafe PHP Deserialization in Multiple Locations Without allowed_classes Restriction
    Wysoka · 8.0 CVE-2026-45162 >= 12.0.0-RC1, < 12.3.7, < 11.5.17, >= 2026.1.0, < 2026.1.3 12.3.7, 11.5.17, 2026.1.3
  10. Pimcore Vulnerable to SQL Injection in Custom Reports Column Configuration
    Wysoka · 8.7 CVE-2026-44739 >= 2026.1.0, < 2026.1.2, < 11.5.17, >= 12.0.0-RC1, < 12.3.6 2026.1.2, 11.5.17, 12.3.6
  11. Pimcore ENV Variables and Cookie Informations are exposed in http_error_log
    Wysoka · 8.6 CVE-2026-23493 >= 12.0.0-RC1, < 12.3.1, < 11.5.14 12.3.1, 11.5.14
  12. Pimcore Has an Incomplete Patch for CVE-2023-30848
    Wysoka · 8.8 CVE-2026-23492 >= 12.0.0-RC1, < 12.3.1, < 11.5.14 12.3.1, 11.5.14
  13. Pimcore Authenticated Stored Cross-Site Scripting (XSS) Via Search Document ten wpis
    Wysoka · 8.1 CVE-2024-11954 >= 11.4.2, < 11.5.3 11.5.3
  14. Pimcore includes vulnerable PHPOffice/PhpSpreadsheet
    Wysoka · 8.8 ghsa-hq76-662x-7mw4 >= 10.6.9.0, < 10.6.9.12, >= 11.1.0.0, < 11.1.6.11 10.6.9.12, 11.1.6.11
  15. Flooding Server with Thumbnail files
    Wysoka · 7.5 CVE-2024-32871 >= 11.0.0, < 11.2.4 11.2.4
  16. Pimcore SQL Injection in Admin Grid Filter API through Multiselect::getFilterConditionExt()
    Wysoka · 8.8 CVE-2023-47637 < 11.1.1 11.1.1
  17. Pimcore vulnerable to Exposure of Sensitive Information to an Unauthorized Actor
    Wysoka · 7.6 CVE-2023-3819 < 10.6.4 10.6.4
  18. Pimcore vulnerable to SQL Injection in Dataobjects sorting
    Wysoka · 7.2 CVE-2023-3820 < 10.6.4 10.6.4
  19. Pimcore SQL Injection vulnerability
    Wysoka · 7.2 CVE-2023-3673 < 10.5.24 10.5.24
  20. SQL Injection in AssetController
    Wysoka · 8.8 CVE-2023-2338 < 10.5.21 10.5.21
  21. SQL Injection in Admin Translations API
    Wysoka · 8.8 CVE-2023-30850 < 10.5.21 10.5.21
  22. SQL Injection in Translation Export API
    Wysoka · 8.8 CVE-2023-30849 < 10.5.21 10.5.21
  23. SQL Injection in Admin Search Find API
    Wysoka · 8.8 CVE-2023-30848 < 10.5.21 10.5.21
  24. Improper quoting of columns when calling methods "getByUuid" & "exists" on UUID Model
    Wysoka · 7.9 CVE-2023-28108 < 10.5.19 10.5.19
  25. SameSite Attribute vulnerability in pimCore
    Wysoka · 8.8 CVE-2023-25240 < 10.5.16 10.5.16
  26. RCE vulnerability in Pimcore/Mail & Dynamic Text Layout
    Krytyczna · 9.8 CVE-2022-39365 < 10.5.9 10.5.9
  27. Improper quoting of columns when using setOrderBy() or setGroupBy() on listing classes in Pimcore
    Wysoka · 8.1 CVE-2022-31092 < 10.4.4 10.4.4
  28. Pimcore 2FA Vulnerable to Brute Forcing
    Krytyczna · 9.8 CVE-2019-18985 < 6.2.2 6.2.2
  29. Pimcore Access Control Issues
    Krytyczna · 9.8 CVE-2019-18981 < 6.2.2 6.2.2
  30. Pimcore Discloses Usernames In Use
    Wysoka · 7.5 CVE-2019-18986 < 6.2.2 6.2.2
  31. Pimcore RCE via PHAR upload
    Wysoka · 8.8 CVE-2019-16317 < 5.7.1 5.7.1
  32. Pimcore Unrestricted Upload of File with Dangerous Type
    Wysoka · 8.8 CVE-2019-16318 < 5.7.1 5.7.1
  33. Pimcore Vulnerable to PHP Object Injection Attacks
    Wysoka CVE-2014-2921 >= 1.4.9, < 2.2.0 2.2.0
  34. Pimcore CSRF Vulnerability
    Wysoka · 8.8 CVE-2018-14057 < 5.3.0 5.3.0
  35. Pimcore Unserialize Remote Code Execution
    Wysoka · 8.8 CVE-2019-10867 < 5.7.1 5.7.1
  36. SQL Injection found in Pimcore
    Wysoka · 7.5 CVE-2022-1429 < 10.3.6 10.3.6
  37. SQL Injection in Pimcore
    Wysoka · 7.5 CVE-2022-1339 < 10.3.5 10.3.5
  38. SQL Injection in Pimcore
    Wysoka · 7.5 CVE-2022-1219 < 10.3.5 10.3.5
  39. pimcore is vulnerable to SQL Injection
    Wysoka · 8.3 CVE-2022-0258 < 10.2.9 10.2.9
  40. Unrestricted Upload of File with Dangerous Type in pimcore
    Wysoka · 7.8 CVE-2022-0263 < 10.2.7 10.2.7
Pokaż więcej (5) Widać 40 z 45

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.