使用标签时不会检查 Pimcore Admin Classic Bundle 权限 (CVE-2024-24822)

CVE编号

CVE-2024-24822

利用情况

暂无

补丁情况

N/A

披露时间

2024-02-08

漏洞描述

Pimcore的Admin Classic Bundle提供了一个用于Pimcore的后端用户界面。在1.3.3版本之前，攻击者可以在没有相应权限的情况下创建、删除等标签。在1.3.3版本中提供了修复。作为一种解决方法，可以手动应用该补丁。

解决建议

"将组件 pimcore/admin-ui-classic-bundle 升级至 1.3.3 及以上版本"

参考链接
https://github.com/pimcore/admin-ui-classic-bundle/commit/24660b6d5ad9cbcb037...
https://github.com/pimcore/admin-ui-classic-bundle/pull/412
https://github.com/pimcore/admin-ui-classic-bundle/security/advisories/GHSA-3...

CVSS3评分 6.5

• 攻击路径 网络
• 攻击复杂度 低
• 权限要求 低
• 影响范围 未更改
• 用户交互 无
• 可用性 无
• 保密性 无
• 完整性 高

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N

CWE-ID	漏洞类型
CWE-862	授权机制缺失

Exp相关链接

- avd.aliyun.com