SQL-injectiekwetsbaarheid in Pimcore Custom Reports (CVE-2026-55416)

Wat is er gebeurd

Er is een SQL-injectiekwetsbaarheid vastgesteld in de Custom Reports-functionaliteit van Pimcore. Een geauthenticeerde gebruiker met de reports_config-permissie kan door een aanvaller gecontroleerde SQL-fragmenten plaatsen in de velden sql, from, where en groupby van een Custom Reports-configuratie. Deze velden worden verwerkt door de Sql.php-adapter in de CustomReportsBundle.

Technische oorzaak

De methode buildQueryString() in bundles/CustomReportsBundle/src/Tool/Adapter/Sql.php voegt door gebruikers opgegeven configuratiewaarden rechtstreeks samen tot een databasequery. De methode leunt op een zwarte lijst om gevaarlijke invoer te filteren, maar deze lijst mist meerdere gevaarlijke constructies, waaronder extra datamanipulatie-statements, SQL-commentaar, subquery's en meerdere statements tegelijk. Daarnaast interpoleerde de methode getData() voorheen offset- en limietwaarden in een LIMIT-clausule zonder deze als integers te casten, wat een extra injectiepad opende. Wanneer het geconfigureerde rapport wordt uitgevoerd, bereikt de opgebouwde query fetchAllAssociative(), waardoor willekeurige databasegegevens kunnen worden ingezien, gewijzigd of verwijderd.

Waarom dit belangrijk is

SQL-injectiekwetsbaarheden van dit type kunnen leiden tot volledige aantasting van de vertrouwelijkheid, integriteit en beschikbaarheid van de onderliggende database. De CVSS-score van 8.8 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H) geeft aan dat de kwetsbaarheid via het netwerk te misbruiken is met lage aanvalscomplexiteit en zonder gebruikersinteractie, al is wel laagbevoegde authenticatie vereist. Omdat een aanvaller alleen de reports_config-permissie nodig heeft en geen volledige beheerdersrechten, ligt de drempel lager dan bij kwetsbaarheden die hogere rechten vereisen.

Wie wordt getroffen

Organisaties die pimcore/pimcore draaien met de Custom Reports-module ingeschakeld en waarbij gebruikers de reports_config-permissie hebben gekregen, worden getroffen. Het risico is vooral gekoppeld aan accounts met deze specifieke permissie, niet aan alle geauthenticeerde gebruikers.

Getroffen versies

De kwetsbaarheid treft pimcore/pimcore-versies vóór 11.5.18 (geïntroduceerd vanaf versie 0), versies vanaf 12.0.0 tot en met 12.3.9, en versies vanaf 2026.1.0 tot en met 2026.1.5.

Oplossingen en mitigatie

Pimcore heeft fixes uitgebracht in versies 11.5.19, 12.3.10 en 2026.1.6. Deze updates verhelpen het SQL-injectieprobleem in de verwerking van Custom Reports-configuraties.

Aanbevolen actie

Sitebeheerders en ontwikkelaars die getroffen versies van pimcore/pimcore gebruiken, moeten updaten naar versie 11.5.19, 12.3.10 of 2026.1.6, afhankelijk van hun huidige releasetak. Tot de update kan worden toegepast, wordt beheerders aangeraden te controleren welke gebruikers de reports_config-permissie hebben en deze te beperken tot vertrouwde accounts.