p PatchFirst

CVE-2026-55207

CVE-2026-55207 · Pimcore: Account Takeover via Password Reset URL Injection allows unauthenticated attacker to hijack any admin account with 2FA bypass

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

Pimcore is an Open Source Data & Experience Management Platform. Prior to 2025.4.6 and 2026.1.6, an unauthenticated attacker who knows a valid admin username can take over any Pimcore admin account by sending a password reset request with an attacker-controlled resetPasswordUrl. The server generates a real cryptographic recovery token, appends it to the supplied URL, and emails the link to the victim; when the victim clicks the link, the token is sent to the attacker and can be used with POST /pimcore-studio/api/login/token to authenticate with full admin privileges while bypassing two-factor authentication. This issue is fixed in versions 2025.4.6 and 2026.1.6.

CVSS 8.8 · Высокий · EPSS 0,7% · Есть исправление

Опубликовано
Обновлено

Стек: php

Затронутые продукты и версии

  • pimcore

    Версии
    • >= 2026.1.0, < 2026.1.6: Затронуто
    • < 2025.4.6: Затронуто

    Нет опубликованного исправления

  • pimcore/studio-backend-bundle Packagist

    Версии
    • v0.10.21
    • v0.12.18
    • v0.12.9
    • v0.13.20
    • v0.14.19
    • v0.15.17
    • v0.4.30
    • v0.5.20
    • v0.6.30
    • v0.9.30
    • v2025.4.0
    • v2025.4.1
    • v2025.4.2
    • v2025.4.3
    • v2025.4.4
    • v2025.4.5
    Затронутые диапазоны версий
    • ECOSYSTEM: < 2025.4.6

    Обновитесь до 2025.4.6

  • pimcore/studio-backend-bundle Packagist

    Версии
    • v2026.1.0
    • v2026.1.1
    • v2026.1.2
    • v2026.1.3
    • v2026.1.4
    • v2026.1.5
    Затронутые диапазоны версий
    • ECOSYSTEM: ≥ 2026.1.0, < 2026.1.6

    Обновитесь до 2026.1.6

Первоисточники

Проверьте свой сервер →