🟠 CVE-2026-72562: High Schwachstelle

„`html

Zusammenfassung

In Pimcore admin-ui-classic-bundle bis Version 2.3 existiert eine kritische SQL-Injection-Anfälligkeit. Die Schwachstelle ermöglicht authentifizierten Backend-Benutzern die Ausführung beliebiger SQL-Befehle über die ID-Spaltenfilter-Funktion im DataObject-Grid. Der Filtereingang wird ohne Parameterisierung direkt in die SQL WHERE-Klausel eingefügt, was zu vollständiger Datenbank-Kompromittierung führen kann.

Betroffene Systeme

• Pimcore admin-ui-classic-bundle Version ≤ 2.3
• Alle Installationen mit aktivierter DataObject-Grid-Funktionalität
• Backend-Benutzer mit Datenverwaltungsrechten

Technische Details

Angriffsvektor: Network (authenticated)

CVSS v3.1: 8.8 (High)

Die Anfälligkeit liegt im Filter-Verarbeitungsmechanismus des DataObject-Grid. Wenn Administratoren Filterkriterien über die ID-Spalte anwenden, wird die Benutzereingabe direkt in die SQL-Query concateniert:

WHERE id = {user_input}

Durch geschickte Eingaben können Angreifer SQL-Befehle injizieren. Beispiel:

1' UNION SELECT password FROM admin_user--

Dies ermöglicht Datenbankabfragen zu exfiltrieren oder Datenbank-Inhalte zu modifizieren. Die Schwachstelle erfordert zwar Zugriff auf das Backend, stellt aber bei kompromittierten Admin-Accounts oder Social-Engineering-Angriffen ein erhebliches Risiko dar.

Empfohlene Massnahmen

• Sofort: Filterparameter auf Whitelist-Basis validieren
• Priorität 1: Prepared Statements für alle Datenbankabfragen einsetzen
• Kurz: Backend-Zugriff auf notwendige Benutzer beschränken
• Monitoring: Verdächtige SQL-Pattern in Logs überwachen
• Update: Auf Version >2.3 aktualisieren, sobald Patch verfügbar ist

Bewertung

Diese SQL-Injection-Anfälligkeit stellt eine hohe Bedrohung dar. Trotz erforderlicher Authentifizierung ermöglicht sie vollständige Datenbankmanipulation. Unternehmen sollten unverzüglich Sicherheitsmaßnahmen implementieren und Updates priorisieren.

„`