Pimcore RCE via PHAR upload

CAO 8.8CVE-2019-16317 · GHSA-352x-hc2f-fwff · SNYK-PHP-PIMCOREPIMCORE-451599 · Công bố 14/09/2019 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2019-16317 là lỗ hổng mức CAO (CVSS 8.8) ảnh hưởng pimcore/pimcore, pimcore (pimcore).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 1.7%, cao hơn 77.2% các lỗ hổng khác.
Cách xử lý: cập nhật lên 5.7.1 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
pimcore/pimcore Packagist	`< 5.7.1`	`5.7.1`
pimcore pimcore	`< 5.7.1`	`5.7.1`

Mô tả

In Pimcore before 5.7.1, an attacker with limited privileges can trigger execution of a .phar file via a phar:// URL in a filename parameter, because PHAR uploads are not blocked and are reachable within the phar://../../../../../../../../var/www/html/web/var/assets/ directory, a different vulnerability than CVE-2019-10867 and CVE-2019-16318.

Mô tả của NVD

In Pimcore before 5.7.1, an attacker with limited privileges can trigger execution of a .phar file via a phar:// URL in a filename parameter, because PHAR uploads are not blocked and are reachable within the phar://../../../../../../../../var/www/html/web/var/assets/ directory, a different vulnerability than CVE-2019-10867 and CVE-2019-16318.