Pimcore Unserialize Remote Code Execution

高 8.8CVE-2019-10867 · GHSA-7hqr-j26m-gmwp · SNYK-PHP-PIMCOREPIMCORE-173998 · 04/04/2019 公開 · 17/06/2026 更新

要点

CVE-2019-10867 は pimcore/pimcore, pimcore (pimcore) に影響する深刻度「高」 (CVSS 8.8) の脆弱性です。
今後30日間に悪用される確率（EPSS）：68.9%（全脆弱性の 99.3% より高い）。
対処：5.7.1 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
pimcore/pimcore Packagist	`< 5.7.1`	`5.7.1`
pimcore pimcore	`< 5.7.1`	`5.7.1`

概要

An issue was discovered in Pimcore before 5.7.1. An attacker with classes permission can send a POST request to /admin/class/bulk-commit, which will make it possible to exploit the unserialize function when passing untrusted values in the data parameter to bundles/AdminBundle/Controller/Admin/DataObject/ClassController.php.

NVD の説明

An issue was discovered in Pimcore before 5.7.1. An attacker with classes permission can send a POST request to /admin/class/bulk-commit, which will make it possible to exploit the unserialize function when passing untrusted values in the data parameter to bundles/AdminBundle/Controller/Admin/DataObject/ClassController.php.