CVE-2026-44741

Nome do Software Vulnerável e Versões Afetadas Pimcore versões anteriores a 1.7.18 Pimcore versões anteriores a 2.3.6

Description Um problema de injeção de SQL existe no filtro de data da grade de tradução do Admin Classic Bundle. A aplicação falha ao parametrizar ou validar adequadamente o campo property fornecido pelo usuário no JSON do filtro, interpolando-o diretamente em uma expressão SQL UNIX TIMESTAMP(DATE(FROM UNIXTIME(...))). Isso ocorre no endpoint POST /admin/translation/translations. Um usuário autenticado com permissões para visualizar traduções pode explorar isso para extrair informações arbitrárias do banco de dados usando técnicas baseadas em UNION ou erro. Esta falha pode ser combinada com outras vulnerabilidades para alcançar a execução remota de código.

Recommendations Atualize o Pimcore para a versão 1.7.18 ou posterior. Atualize o Pimcore para a versão 2.3.6 ou posterior. Como mitigação temporária, restrinja o acesso ao endpoint POST /admin/translation/translations ou limite as permissões de usuários que podem acessar a visualização de traduções.