CVE-2025-30166

Nome do Software Vulnerável e Versões Afetadas: Versões do Pimcore Admin Classic Bundle anteriores à 1.7.6

Descrição: Uma vulnerabilidade de injeção de HTML no Pimcore Admin Classic Bundle permite que usuários com acesso à funcionalidade de envio de e-mails injetem código HTML arbitrário em e-mails enviados via interface de administração. Isso poderia potencialmente levar ao roubo de cookies de sessão e à alteração do conteúdo da página. O problema é encontrado especificamente no endpoint "/admin/email/send-test-email" utilizando o método POST, onde o parâmetro content permite a injeção de código HTML arbitrário. Embora a injeção de código JavaScript seja bloqueada, a injeção de código HTML permanece possível.

Recomendações: Para versões anteriores à 1.7.6, atualize para a versão 1.7.6 para resolver o problema. Como solução temporária, considere restringir o acesso ao endpoint "/admin/email/send-test-email" ou limitar o uso do parâmetro content para minimizar o risco de exploração.