CVSS: 7.7EPSS: 0%CPEs: 1EXPL: 0CVE-2020-26246 – Authorization bypass in Pimcore
https://notcve.org/view.php?id=CVE-2020-26246
03 Dec 2020 — Pimcore is an open source digital experience platform. In Pimcore before version 6.8.5 it is possible to modify & create website settings without having the appropriate permissions. Pimcore es una plataforma de experiencia digital de código abierto. En Pimcore anterior a la versión 6.8.5, es posible modificar y crear la configuración del sitio web sin contar con los permisos apropiados • https://github.com/pimcore/pimcore/pull/7618 • CWE-281: Improper Preservation of Permissions CWE-285: Improper Authorization •
CVSS: 7.2EPSS: 0%CPEs: 1EXPL: 0CVE-2020-7759 – SQL Injection
https://notcve.org/view.php?id=CVE-2020-7759
30 Oct 2020 — The package pimcore/pimcore from 6.7.2 and before 6.8.3 are vulnerable to SQL Injection in data classification functionality in ClassificationstoreController. This can be exploited by sending a specifically-crafted input in the relationIds parameter as demonstrated by the following request: http://vulnerable.pimcore.example/admin/classificationstore/relations?relationIds=[{"keyId"%3a"''","groupId"%3a"'asd'))+or+1%3d1+union+(select+1,2,3,4,5,6,name,8,password,'',11,12,'',14+from+users)+--+"}] Las versiones 6... • https://github.com/pimcore/pimcore/pull/7315 • CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') •
CVSS: 6.5EPSS: 0%CPEs: 1EXPL: 0CVE-2019-10763
https://notcve.org/view.php?id=CVE-2019-10763
18 Nov 2019 — pimcore/pimcore before 6.3.0 is vulnerable to SQL Injection. An attacker with limited privileges (classes permission) can achieve a SQL injection that can lead in data leakage. The vulnerability can be exploited via 'id', 'storeId', 'pageSize' and 'tables' parameters, using a payload for trigger a time based or error based sql injection. pimcore/pimcore versiones anteriores a 6.3.0, es vulnerable a una inyección SQL. Un atacante con privilegios limitados (permiso de clases) puede lograr una inyección SQL qu... • https://blog.certimetergroup.com/it/articolo/security/sql_injection_in_pimcore_6.2.3 • CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') •
CVSS: 9.8EPSS: 0%CPEs: 1EXPL: 0CVE-2019-18981
https://notcve.org/view.php?id=CVE-2019-18981
15 Nov 2019 — Pimcore before 6.2.2 lacks an Access Denied outcome for a certain scenario of an incorrect recipient ID of a notification. Pimcore versiones anteriores a la versión 6.2.2, carece de un resultado de Acceso Denegado para un determinado escenario de un ID de destinatario incorrecto de una notificación. • https://github.com/pimcore/pimcore/commit/0a5d80b2593b2ebe35d19756b730ba33aa049106 • CWE-838: Inappropriate Encoding for Output Context •
CVSS: 6.1EPSS: 0%CPEs: 1EXPL: 0CVE-2019-18982
https://notcve.org/view.php?id=CVE-2019-18982
15 Nov 2019 — bundles/AdminBundle/Controller/Admin/EmailController.php in Pimcore before 6.3.0 allows script execution in the Email Log preview window because of the lack of a Content-Security-Policy header. El archivo bundles/AdminBundle/Controller/Admin/EmailController.php en Pimcore versiones anteriores a la versión 6.3.0, permite la ejecución del script en la ventana de vista previa del Registro de Correo Electrónico debido a la falta de un encabezado Content-Security-Policy. • https://github.com/pimcore/pimcore/commit/e0b48faf7d29ce43a98825a0b230e88350ebcf78 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 9.8EPSS: 0%CPEs: 1EXPL: 0CVE-2019-18985
https://notcve.org/view.php?id=CVE-2019-18985
15 Nov 2019 — Pimcore before 6.2.2 lacks brute force protection for the 2FA token. Pimcore versiones anteriores a la versión 6.2.2, carece de protección de fuerza bruta para el token 2FA. • https://github.com/pimcore/pimcore/commit/9f2d075243a8392c114d9a8028858b9faf041e2d • CWE-307: Improper Restriction of Excessive Authentication Attempts •
CVSS: 7.5EPSS: 0%CPEs: 1EXPL: 0CVE-2019-18986
https://notcve.org/view.php?id=CVE-2019-18986
15 Nov 2019 — Pimcore before 6.2.2 allow attackers to brute-force (guess) valid usernames by using the 'forgot password' functionality as it returns distinct messages for invalid password and non-existing users. Pimcore versiones anteriores a la versión 6.2.2, permite a atacantes forzar mediante fuerza bruta (por adivinación) nombres de usuario válidos mediante el uso de la funcionalidad de "forgot password", ya que devuelve mensajes distintos para la contraseña no válida y los usuarios no existentes. • https://github.com/pimcore/pimcore/commit/4a7bba5c3f818852cbbd29fa124f7fb09a207185 • CWE-307: Improper Restriction of Excessive Authentication Attempts •
CVSS: 6.1EPSS: 0%CPEs: 1EXPL: 0CVE-2019-18656
https://notcve.org/view.php?id=CVE-2019-18656
31 Oct 2019 — Pimcore 6.2.3 has XSS in the translations grid because bundles/AdminBundle/Resources/public/js/pimcore/settings/translations.js mishandles certain HTML elements. Pimcore versión 6.2.3, presenta una vulnerabilidad de tipo XSS en la cuadrícula de traducciones porque el archivo bundles/AdminBundle/Resources/public/js/pimcore/settings/translations.js maneja inapropiadamente ciertos elementos HTML. • https://github.com/pimcore/pimcore/commit/ca036e9f86bb5cdb3dac0930ec131e5f35e26c5f • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 8.8EPSS: 0%CPEs: 1EXPL: 0CVE-2019-16317
https://notcve.org/view.php?id=CVE-2019-16317
14 Sep 2019 — In Pimcore before 5.7.1, an attacker with limited privileges can trigger execution of a .phar file via a phar:// URL in a filename parameter, because PHAR uploads are not blocked and are reachable within the phar://../../../../../../../../var/www/html/web/var/assets/ directory, a different vulnerability than CVE-2019-10867 and CVE-2019-16318. En Pimcore versiones anteriores a 5.7.1, un atacante con privilegios limitados puede activar la ejecución de un archivo .phar por medio de una URL phar:// en un paráme... • https://github.com/pimcore/pimcore/commit/6ee5d8536d0802e377594cbe39083e822710aab9 • CWE-502: Deserialization of Untrusted Data •
CVSS: 8.8EPSS: 0%CPEs: 1EXPL: 0CVE-2019-16318
https://notcve.org/view.php?id=CVE-2019-16318
14 Sep 2019 — In Pimcore before 5.7.1, an attacker with limited privileges can bypass file-extension restrictions via a 256-character filename, as demonstrated by the failure of automatic renaming of .php to .php.txt for long filenames, a different vulnerability than CVE-2019-10867 and CVE-2019-16317. En Pimcore versiones anteriores a 5.7.1, un atacante con privilegios limitados puede omitir las restricciones de extensión de archivo por medio de un nombre de archivo de 256 caracteres, como es demostrado por el fallo del ... • https://github.com/pimcore/pimcore/commit/732f1647cc6e0a29b5b1f5d904b4d726b5e9455f • CWE-434: Unrestricted Upload of File with Dangerous Type •