PT-2026-44159

CVE-2026-45704

تاريخ النشر

2026-05-27

تاريخ التحديث

2026-07-20

الوصف من

CVSS 4.0

7.1

عالية

المقاييسAV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:L/VA:N/SC:N/SI:N/SA:N

اسم البرنامج المعرض للخطر والإصدارات المتأثرة

إصدارات Pimcore الأقدم من 11.5.17 (LTS)

إصدارات Pimcore الأقدم من 12.3.6

الوصف

يستخدم CustomReports أذونات غير متسقة بين نقطة نهاية قائمة التقارير ونقطة نهاية تفاصيل التقرير. في حين أن تدفق القائمة يقوم بتصفية التقارير بناءً على قواعد المشاركة، فإن تدفق التفاصيل يتحقق فقط من أذونات reports أو reports config العامة. وهذا يسمح لمستخدم الخلفية ذي الامتيازات المنخفضة الذي يمتلك إذن reports بتجاوز ضوابط الوصول وطلب تقرير غير مشترك مباشرةً بالاسم. يمكن للمهاجم قراءة البيانات الوصفية الحساسة للتقرير، بما في ذلك اسم التقرير، ومعلومات التجميع، والبيانات الوصفية للعرض والرموز، وتكوين مصدر البيانات، وتكوين الأعمدة، وإعدادات المشاركة، حتى عندما تكون قيمة shareGlobally مضبوطة على false.

تتضمن التفاصيل الفنية ما يلي:

نقاط نهاية واجهة برمجة التطبيقات (API): تعد الدالة getAction() في ملف CustomReportController.php عرضة للثغرة، وكذلك نقاط نهاية التقارير الأخرى مثل data وchart وcreate-csv وdownload-csv التي تحدد التقارير بالاسم.
المعلمات أو المتغيرات المعرضة للثغرة: تُستخدم المعلمة name لطلب تكوينات التقارير مباشرةً.
أسماء الدوال: تفشل الدالة getAction() في تنفيذ نفس عمليات التحقق من المشاركة الموجودة في loadForGivenUser().