Pimcoreはオープンソースのデータおよびエクスペリエンス管理プラットフォームです。バージョン12.3.1および11.5.14より前のバージョンでは、静的ルートの読み取りや一覧表示を担当するAPIエンドポイントに対して適切なサーバーサイドの認可チェックが適用されていませんでした。Pimcoreにおける静的ルートとは、バックエンドインターフェースやvar/config/staticroutes.phpファイルを通じて定義されるカスタムURLパターンであり、正規表現ベースのパターン、コントローラー、変数、優先度などの詳細を含みます。これらのルートはPimcoreStaticRoutesBundleによって自動的に登録され、MVCルーティングシステムに統合されています。テストの結果、明示的な権限を持たない認証済みバックエンドユーザーが該当エンドポイント（例：GET /api/static-routes）を呼び出すことで、機密性の高いルート設定情報を取得できることが判明しました。この脆弱性はバージョン12.3.1および11.5.14で修正されています。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。