🇰🇷 한글 설명
Pimcore 플랫폼의 Studio API에서 클래스 정의 생성 엔드포인트가 'classes' 권한 대신 'objects' 권한으로 잘못 보호되어 발생하는 취약점입니다. 이로 인해 관리자 권한이 없는 일반 편집자 수준의 사용자도 클래스 정의를 생성할 수 있으며, UID 형식 검증 미비로 인해 내부 예외를 유발할 수 있습니다.
💡 쉬운 설명
일반 사용자에게 허용되지 않은 관리자 기능을 사용할 수 있는 보안 설정 오류입니다. 공격자가 이를 악용하면 서버에 새로운 데이터 구조를 만들거나 시스템 오류를 일으킬 수 있습니다.
🇺🇸 원문 (English)
Pimcore is an Open Source Data & Experience Management Platform. Prior to 2025.4.6 and 2026.1.6, the Studio API class definition creation endpoint POST /pimcore-studio/api/class/definition/configuration-view/detail/create is guarded by the objects permission instead of the classes permission, allowing a standard editor-level user to create class definitions without admin privileges. Class definition creation generates new database tables and PHP class files on the server, and missing API-layer UID format validation allows malformed UIDs to reach model-layer validation and return internal exceptions. This issue is fixed in versions 2025.4.6 and 2026.1.6.
📍 영향받는 시스템
Pimcore versions prior to 2025.4.6 and 2026.1.6
⚔️ 공격 벡터
권한이 낮은 사용자가 POST /pimcore-studio/api/class/definition/configuration-view/detail/create 엔드포인트를 호출하여 클래스 정의 생성
🛡️ 대응 방법
Pimcore를 버전 2025.4.6 또는 2026.1.6 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 2025.4.6 미만이거나 2026.1.6 미만인 경우 취약한 상태입니다.
composer show pimcore/pimcore | grep 'versions'