p PatchFirst

CVE-2026-55212

CVE-2026-55212 · Pimcore: Insufficient Permission Check on Class Definition Creation Endpoint Allows Privilege Escalation

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

Pimcore is an Open Source Data & Experience Management Platform. Prior to 2025.4.6 and 2026.1.6, the Studio API class definition creation endpoint POST /pimcore-studio/api/class/definition/configuration-view/detail/create is guarded by the objects permission instead of the classes permission, allowing a standard editor-level user to create class definitions without admin privileges. Class definition creation generates new database tables and PHP class files on the server, and missing API-layer UID format validation allows malformed UIDs to reach model-layer validation and return internal exceptions. This issue is fixed in versions 2025.4.6 and 2026.1.6.

CVSS 7.1 · Élevée · EPSS 0,4% · Correctif disponible

Publication
Mise à jour

Pile logicielle: php

Produits et versions concernés

  • pimcore

    Versions du logiciel
    • >= 2026.1.0, < 2026.1.6: Concernée
    • < 2025.4.6: Concernée

    Aucun correctif publié

  • pimcore/studio-backend-bundle Packagist

    Versions du logiciel
    • v0.10.21
    • v0.12.18
    • v0.12.9
    • v0.13.20
    • v0.14.19
    • v0.15.17
    • v0.4.30
    • v0.5.20
    • v0.6.30
    • v0.9.30
    • v2025.4.0
    • v2025.4.1
    • v2025.4.10
    • v2025.4.11
    • v2025.4.12
    • v2025.4.13
    • v2025.4.2
    • v2025.4.3
    • v2025.4.4
    • v2025.4.5
    • v2025.4.6
    • v2025.4.7
    • v2025.4.8
    • v2025.4.9
    • v2026.1.0
    • v2026.1.1
    • v2026.1.2
    • v2026.1.3
    • v2026.1.4
    • v2026.1.5
    Plages de versions concernées
    • ECOSYSTEM: < 2026.1.6

    Mettez à jour vers 2026.1.6

  • pimcore/studio-backend-bundle Packagist

    Versions du logiciel
    • v2026.1.0
    • v2026.1.1
    • v2026.1.2
    • v2026.1.3
    • v2026.1.4
    • v2026.1.5
    Plages de versions concernées
    • ECOSYSTEM: ≥ 2026.1.0, < 2026.1.6

    Mettez à jour vers 2026.1.6

Sources originales

Vérifiez votre serveur →