PimcoreのAdmin Classic BundleはPimcoreのバックエンドUIを提供します。バージョン2.2.3および1.7.16以前では、Pimcoreプラットフォームの事前定義プロパティを一覧表示するAPIエンドポイントに適切なサーバー側認可チェックが欠如していました。事前定義プロパティとは、ドキュメント、アセット、オブジェクト全体でカスタム属性を標準化し、編集ワークフローを改善するために使用される名前、キー、タイプ、デフォルト値などの構成可能なメタデータ定義であり、Pimcore公式のプロパティガイドに記載されています。テストの結果、明示的なプロパティ管理権限を持たない認証済みバックエンドユーザーがエンドポイントを呼び出し、これらの構成の完全なリストを取得できることが確認されました。この脆弱性はバージョン2.2.3および1.7.16で修正されました。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。