🇰🇷 한글 설명
Pimcore 플랫폼의 Hotspotimage 모델에서 JSON 디코딩 실패 시 허용된 클래스 제한 없이 PHP 역직렬화(unserialize)를 수행하는 취약점이 발견되었습니다. 공격자가 특정 컬럼에 조작된 직렬화 데이터를 주입할 수 있다면, 객체 생성 및 매직 메서드 실행을 통해 임의 파일 쓰기나 원격 코드 실행(RCE)이 가능합니다.
💡 쉬운 설명
데이터를 읽어오는 과정에서 검증되지 않은 데이터를 잘못 처리하여 해커가 시스템에 악성 명령을 내릴 수 있는 보안 약점입니다. 공격자가 미리 준비한 특수 데이터를 심어두면 시스템이 이를 실행하면서 컴퓨터를 제어당할 수 있습니다.
🇺🇸 원문 (English)
Pimcore is an Open Source Data & Experience Management Platform. Prior to 11.5.19, 12.3.10, and 2026.1.6, Pimcore\Model\DataObject\ClassDefinition\Data\Hotspotimage::getDataFromResource() in models/DataObject/ClassDefinition/Data/Hotspotimage.php passes the field __hotspots object-store column to Pimcore\Tool\Serialize::unserialize() without an allowed-classes restriction after JSON decoding fails. An attacker with a separate capability to write crafted PHP serialized bytes into that column can instantiate available classes and trigger magic methods when an affected DataObject is loaded, which can produce arbitrary file writes or code execution through bundled gadget chains. The related ImageGallery, Block, and Video callers use the same fallback pattern, but the identified June fix changes the Hotspotimage caller only. This issue is fixed for Hotspotimage in versions 11.5.19, 12.3.10, and 2026.1.6.
📍 영향받는 시스템
Pimcore 11.5.19 미만, 12.3.10 미만, 2026.1.6 미만 버전
⚔️ 공격 벡터
데이터베이스의 특정 컬럼에 조작된 PHP 직렬화 데이터를 주입한 후, 해당 데이터 객체를 로드하여 취약한 역직렬화 함수를 트리거함
🛡️ 대응 방법
Pimcore를 최신 보안 패치가 적용된 버전(11.5.19, 12.3.10, 2026.1.6 이상)으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 취약한 버전 범위(11.5.19, 12.3.10, 2026.1.6 미만)에 해당하는지 확인하십시오.
composer show pimcore/pimcore | grep 'versions'