Zaloguj się
Deutsch English Español Polski
Wysoka

Pimcore CMS Twig Sandbox Bypass via SecurityPolicy checkMethodAllowed

  • Ujawniono: 17.06.2026
  • Aktualizacja: 11.10.2026 10:22

Pimcore CMS/DXP version 12.3.8 contains a sandbox bypass vulnerability that allows authenticated administrative attackers to execute arbitrary methods on PHP objects by exploiting empty checkMethodAllowed() and checkPropertyAllowed() implementations in the custom Twig SecurityPolicy. Attackers can supply malicious Twig templates through the DataObject ClassDefinition Layout\Text component to perform arbitrary file reads, execute arbitrary database queries, and potentially achieve remote code execution via PHP object gadget chains, with the pimcore_* function wildcard further broadening the bypass to all Pimcore Twig functions.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka Composer pimcore/pimcore >= 12.0.0-RC1, <= 12.3.8, <= 11.5.14.1 brak poprawki

Odnośniki

Ocena CVSS 7.2/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
Słabość (CWE)
CWE-1336
Platforma
Composer
Paczka
pimcore/pimcore
Ujawniono
17.06.2026
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-7p36-fq2r-4h7r - CC BY 4.0

Historia podatności: pimcore/pimcore

Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (135) w archiwum
Wszystkich wpisów
135
Pierwsza → ostatnia
12.2019 09.2026
Bez poprawki
3
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 5
  • Wysoka 40
  • Średnia 90

Ujawnienia w latach

Istotność:
  1. Pimcore: SQL Injection in Custom Reports via Malicious Report Configuration
    Wysoka · 8.8 CVE-2026-55416 >= 2026.1.0, < 2026.1.6, >= 12.0.0-RC1, < 12.3.10, < 11.5.19 2026.1.6, 12.3.10, 11.5.19
  2. Pimcore Vulnerable to Remote Code Execution via DataObject Class-Definition Field Name
    Krytyczna · 9.9 CVE-2026-55634 < 12.3.10, >= 2026.1.0, < 2026.1.6 12.3.10, 2026.1.6
  3. Pimcore Hotspotimage getDataFromResource() unrestricted Serialize::unserialize over object-store column (PHP Object Injection, CWE-502)
    Krytyczna CVE-2026-55220 >= 2026.1.0, < 2026.1.6, < 12.3.10 2026.1.6, 12.3.10
  4. Pimcore: ClassDefinition UID regex missing end anchor allows SQL injection via Block.php unquoted table name
    Wysoka · 8.5 CVE-2026-55072 >= 2026.1.0, < 2026.1.5, < 12.3.9 2026.1.5, 12.3.9
  5. Pimcore CMS Twig Sandbox Bypass via SecurityPolicy checkMethodAllowed ten wpis
    Wysoka · 7.2 CVE-2026-11407 >= 12.0.0-RC1, <= 12.3.8, <= 11.5.14.1 brak poprawki
  6. Pimcore Platform - SQL Injection in DataObject composite index handling during class definition import/save
    Wysoka CVE-2026-5394 >= 12.0.0-RC1, < 12.3.7, < 11.5.17, >= 2026.1.0, < 2026.1.3 12.3.7, 11.5.17, 2026.1.3
  7. Pimcore has a CustomReports Share Bypass
    Wysoka CVE-2026-45704 >= 12.0.0-RC1, < 12.3.6, < 11.5.17, >= 2026.1.0, < 2026.1.2 12.3.6, 11.5.17, 2026.1.2
  8. Pimcore: Missing Authorization in WebDAV MOVE via unchecked asset move handling
    Wysoka · 8.1 CVE-2026-45260 >= 12.0.0-RC1, < 12.3.7, >= 2026.1.0, < 2026.1.3, < 11.5.17 12.3.7, 2026.1.3, 11.5.17
  9. Pimcore has Unsafe PHP Deserialization in Multiple Locations Without allowed_classes Restriction
    Wysoka · 8.0 CVE-2026-45162 >= 12.0.0-RC1, < 12.3.7, < 11.5.17, >= 2026.1.0, < 2026.1.3 12.3.7, 11.5.17, 2026.1.3
  10. Pimcore Vulnerable to SQL Injection in Custom Reports Column Configuration
    Wysoka · 8.7 CVE-2026-44739 >= 2026.1.0, < 2026.1.2, < 11.5.17, >= 12.0.0-RC1, < 12.3.6 2026.1.2, 11.5.17, 12.3.6
  11. Pimcore ENV Variables and Cookie Informations are exposed in http_error_log
    Wysoka · 8.6 CVE-2026-23493 >= 12.0.0-RC1, < 12.3.1, < 11.5.14 12.3.1, 11.5.14
  12. Pimcore Has an Incomplete Patch for CVE-2023-30848
    Wysoka · 8.8 CVE-2026-23492 >= 12.0.0-RC1, < 12.3.1, < 11.5.14 12.3.1, 11.5.14
  13. Pimcore Authenticated Stored Cross-Site Scripting (XSS) Via Search Document
    Wysoka · 8.1 CVE-2024-11954 >= 11.4.2, < 11.5.3 11.5.3
  14. Pimcore includes vulnerable PHPOffice/PhpSpreadsheet
    Wysoka · 8.8 ghsa-hq76-662x-7mw4 >= 10.6.9.0, < 10.6.9.12, >= 11.1.0.0, < 11.1.6.11 10.6.9.12, 11.1.6.11
  15. Flooding Server with Thumbnail files
    Wysoka · 7.5 CVE-2024-32871 >= 11.0.0, < 11.2.4 11.2.4
  16. Pimcore SQL Injection in Admin Grid Filter API through Multiselect::getFilterConditionExt()
    Wysoka · 8.8 CVE-2023-47637 < 11.1.1 11.1.1
  17. Pimcore vulnerable to Exposure of Sensitive Information to an Unauthorized Actor
    Wysoka · 7.6 CVE-2023-3819 < 10.6.4 10.6.4
  18. Pimcore vulnerable to SQL Injection in Dataobjects sorting
    Wysoka · 7.2 CVE-2023-3820 < 10.6.4 10.6.4
  19. Pimcore SQL Injection vulnerability
    Wysoka · 7.2 CVE-2023-3673 < 10.5.24 10.5.24
  20. SQL Injection in AssetController
    Wysoka · 8.8 CVE-2023-2338 < 10.5.21 10.5.21
  21. SQL Injection in Admin Translations API
    Wysoka · 8.8 CVE-2023-30850 < 10.5.21 10.5.21
  22. SQL Injection in Translation Export API
    Wysoka · 8.8 CVE-2023-30849 < 10.5.21 10.5.21
  23. SQL Injection in Admin Search Find API
    Wysoka · 8.8 CVE-2023-30848 < 10.5.21 10.5.21
  24. Improper quoting of columns when calling methods "getByUuid" & "exists" on UUID Model
    Wysoka · 7.9 CVE-2023-28108 < 10.5.19 10.5.19
  25. SameSite Attribute vulnerability in pimCore
    Wysoka · 8.8 CVE-2023-25240 < 10.5.16 10.5.16
  26. RCE vulnerability in Pimcore/Mail & Dynamic Text Layout
    Krytyczna · 9.8 CVE-2022-39365 < 10.5.9 10.5.9
  27. Improper quoting of columns when using setOrderBy() or setGroupBy() on listing classes in Pimcore
    Wysoka · 8.1 CVE-2022-31092 < 10.4.4 10.4.4
  28. Pimcore 2FA Vulnerable to Brute Forcing
    Krytyczna · 9.8 CVE-2019-18985 < 6.2.2 6.2.2
  29. Pimcore Access Control Issues
    Krytyczna · 9.8 CVE-2019-18981 < 6.2.2 6.2.2
  30. Pimcore Discloses Usernames In Use
    Wysoka · 7.5 CVE-2019-18986 < 6.2.2 6.2.2
  31. Pimcore RCE via PHAR upload
    Wysoka · 8.8 CVE-2019-16317 < 5.7.1 5.7.1
  32. Pimcore Unrestricted Upload of File with Dangerous Type
    Wysoka · 8.8 CVE-2019-16318 < 5.7.1 5.7.1
  33. Pimcore Vulnerable to PHP Object Injection Attacks
    Wysoka CVE-2014-2921 >= 1.4.9, < 2.2.0 2.2.0
  34. Pimcore CSRF Vulnerability
    Wysoka · 8.8 CVE-2018-14057 < 5.3.0 5.3.0
  35. Pimcore Unserialize Remote Code Execution
    Wysoka · 8.8 CVE-2019-10867 < 5.7.1 5.7.1
  36. SQL Injection found in Pimcore
    Wysoka · 7.5 CVE-2022-1429 < 10.3.6 10.3.6
  37. SQL Injection in Pimcore
    Wysoka · 7.5 CVE-2022-1339 < 10.3.5 10.3.5
  38. SQL Injection in Pimcore
    Wysoka · 7.5 CVE-2022-1219 < 10.3.5 10.3.5
  39. pimcore is vulnerable to SQL Injection
    Wysoka · 8.3 CVE-2022-0258 < 10.2.9 10.2.9
  40. Unrestricted Upload of File with Dangerous Type in pimcore
    Wysoka · 7.8 CVE-2022-0263 < 10.2.7 10.2.7
  41. Improper Neutralization of Text-Values in Object Version Preview
    Wysoka · 8.0 CVE-2021-39166 < 10.1.2 10.1.2
  42. Improper Encoding or Escaping of Output in Asset Metadata Component
    Wysoka · 8.0 CVE-2021-39170 < 10.1.2 10.1.2
  43. SQL injection in pimcore/pimcore
    Wysoka · 8.8 CVE-2021-23405 < 10.0.7 10.0.7
  44. SQL Injection in pimcore
    Wysoka · 7.2 CVE-2020-7759 >= 6.7.2, < 6.8.3 6.8.3
  45. Path traversal in pimcore/pimcore
    Wysoka · 7.1 CVE-2021-23340 < 6.8.8 6.8.8

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.