Pimcore ClassDefinition regex flaw leads to SQL injection (CVE-2026-50272)

漏洞总结：ClassDefinition UID 正则缺少结尾锚点导致 SQL 注入 漏洞概述 漏洞类型：SQL 注入（通过未加引号的表名） 根因： 的 UID 校验正则缺少结尾锚点 ，导致校验只检查字符串开头是否匹配，而忽略后续内容。攻击者可构造形如 的 UID，绕过校验并在 中拼接进 SQL 的表名位置，实现注入。 触发位置： 第 735 行，将 表名与 拼接进 语句中。 影响范围 受影响版本： 修复版本： CVSS 3.0 评分：5.0（High） 攻击前提： - Pimcore 2026.1.x 且启用 Studio API - 用户 仅拥有 权限（标准编辑级权限，非管理员） 影响：认证用户可注入任意 SQL，在恶意类的任意数据对象加载时执行，可读取 表中的密码哈希（UNION 注入）。 修复方案 1. 正则修复：在 的正则模式末尾添加 锚点： 2. 表名包装：在 中用 包装表名（与 第 108–113 行保持一致）： POC / 利用代码 Step 1 — 以 lowpriv 登录并保存会话 Cookie： 预期响应： Step 2 — 创建带恶意 UID 的 ClassDefinition： 预期响应： 。UID 通过校验，因为正则只匹配开头的 。 Step 3 — 在 Studio UI 中为该类添加字段 ，保存。 Step 4 — 创建该类的数据对象： 返回对象 ID（例如 ）。 Step 5 — 获取该数据对象以触发 Block.php:735： 此时 执行： 注释掉 WHERE 子句，MySQL 执行 UNION，返回 表中的密码哈希，出现在响应的 字段中。 独立验证正则绕过（PHP Snippet）：

目標達成すべての支援者に感謝 — 100%達成しました！

Pimcore ClassDefinition regex flaw leads to SQL injection (CVE-2026-50272)

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

Pimcore ClassDefinition regex flaw leads to SQL injection (CVE-2026-50272)

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！