PT-2026-21658 · Pimcore · Pimcore

Q1Uf3Ng · Publicado 2026-02-24 · Atualizado 2026-03-25 · CVE-2026-27461

Positive Technologies (AI Summary) · Pt

CVSS v4.0

6.9

Média

Vetor base

AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Versões do Pimcore até e incluindo a 11.5.14.1 Versões do Pimcore até e incluindo a 12.3.2

Descrição O Pimcore é uma Plataforma de Gerenciamento de Dados e Experiência de Código Aberto. O parâmetro filter query nos endpoints de listagem de dependências é processado sem a devida sanitização, permitindo a potencial extração do banco de dados. Especificamente, o parâmetro é decodificado em JSON e seu valor é incorporado diretamente em cláusulas RLIKE sem medidas de segurança adequadas. A exploração bem-sucedida requer autenticação administrativa. Um invasor com acesso ao painel administrativo poderia potencialmente extrair todo o banco de dados, incluindo hashes de senha de outros usuários administrativos. Os endpoints afetados envolvem a funcionalidade de listagem de dependências. O parâmetro vulnerável é filter query.

Recomendações Atualize para a versão 12.3.3 ou posterior do Pimcore.

Exploit

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2026-27461

GHSA-VXG3-V4P6-F3FP

Produtos afetados

Pimcore

Referências · 17

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/27xxx/CVE-2026-27461.json · Exploit
• https://github.com/pimcore/pimcore · Nota
• https://github.com/pimcore/pimcore/commit/1c3925fbec4895abeb21e5c244a83679c4e4a6f4 · Correção
• https://github.com/pimcore/pimcore/security/advisories/GHSA-vxg3-v4p6-f3fp · Aviso do Fabricante
• https://github.com/pimcore/pimcore/releases/tag/v12.3.3 · Nota
• https://github.com/pimcore/pimcore/pull/18991 · Correção
• https://t.me/cveNotify/152964 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-vxg3-v4p6-f3fp · Aviso do Fabricante
• https://twitter.com/q1uf3ng/status/2036824777642655889 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2026184600633172300 · Publicação no Twitter
• https://t.me/cveNotify/153224 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2026-27461 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/2026271606448791684 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-27461 · Nota de Segurança
• https://t.me/CVEtracker/45571 · Publicação no Telegram