Pakiet Admin Classic Bundle platformy Pimcore dostarcza interfejs Backend UI dla Pimcore. Przed wersją 2.2.3 i 1.7.16 endpoint API do wyświetlania Predefined Properties w platformie Pimcore posiada nieadekwatne sprawdzenia autoryzacji po stronie serwera. Predefined Properties to konfigurowalne definicje metadanych (np. nazwa, klucz, typ, wartość domyślna) używane w dokumentach, zasobach i obiektach w celu standaryzacji atrybutów niestandardowych i usprawnienia procesów redakcyjnych. Testy potwierdziły, że uwierzytelniony użytkownik backend bez jawnych uprawnień do zarządzania właściwościami mógł pomyślnie wywołać endpoint i pobrać pełną listę tych konfiguracji. Luka została naprawiona w wersjach 2.2.3 i 1.7.16.
▸ Pokaż oryginał (EN)
Pimcore's Admin Classic Bundle provides a Backend UI for Pimcore. Prior to 2.2.3 and 1.7.16, the API endpoint for listing Predefined Properties in the Pimcore platform lacks adequate server-side authorization checks. Predefined Properties are configurable metadata definitions (e.g., name, key, type, default value) used across documents, assets, and objects to standardize custom attributes and improve editorial workflows, as documented in Pimcore's official properties guide. Testing confirmed that an authenticated backend user without explicit permissions for property management could successfully call the endpoint and retrieve the complete list of these configurations. The vulnerability is fixed in 2.2.3 and 1.7.16.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:NPimcore Admin Classic Bundle
APPPimcore< 1.7.162.0.0 – 2.2.3 (bez)
Powiązane podatności
Pimcore's Admin Classic Bundle provides a Backend UI for Pimcore. A potential security vulnerability has been ...
Pimcore's Admin Classic Bundle provides a backend user interface for Pimcore. The application allows users to ...
Pimcore's Admin Classic Bundle provides a backend user interface for Pimcore. The password reset functionality...
The Admin Classic Bundle provides a Backend UI for Pimcore. `AdminBundle\Security\PimcoreUserTwoFactorConditio...
Unverified Password Change in GitHub repository pimcore/admin-ui-classic-bundle prior to 1.2.0.