Vulnerabilidad en pimcore (CVE-2026-23494)

Pimcore es una Plataforma de Gestión de Datos y Experiencias de Código Abierto. Antes de 12.3.1 y 11.5.14, la aplicación falla en aplicar controles de autorización adecuados del lado del servidor en el endpoint de la API responsable de leer o listar rutas estáticas. En Pimcore, las rutas estáticas son patrones de URL personalizados definidos a través de la interfaz de backend o el archivo var/config/staticroutes.php, incluyendo detalles como patrones basados en regex, controladores, variables y prioridades. Estas rutas se registran automáticamente a través del PimcoreStaticRoutesBundle e integradas en el sistema de enrutamiento MVC. Las pruebas revelaron que un usuario de backend autenticado que carecía de permisos explícitos pudo invocar el endpoint (por ejemplo, GET /api/static-routes) y recuperar configuraciones de rutas sensibles. Esta vulnerabilidad se corrige en 12.3.1 y 11.5.14.