CVE-2023-47637 — 神龙十问 AI 深度分析摘要

🚨 **本质**：Pimcore 存在 **SQL注入** 漏洞。 💥 **后果**：攻击者可非法操作数据库，导致数据泄露或篡改。

🔍 **CWE**：CWE-89 (SQL注入)。 📍 **缺陷点**：函数 `Multiselect::getFilterConditionExt()` 未正确处理输入。

📦 **产品**：Pimcore (Web内容管理平台)。 📉 **版本**：**11.1.1 之前**的所有版本。

👮 **权限**：需低权限登录。 📊 **数据**：可读取 (**C:H**)、修改 (**I:H**) 或删除数据，甚至影响系统可用性 (**A:H**)。

🔑 **门槛**：中等。 ✅ **条件**：需要 **PR:L** (低权限认证)，无需用户交互 (**UI:N**)。

🧪 **Exp**：数据中未提供现成 PoC。 🌐 **状态**：参考链接指向官方安全公告和代码修复提交。

🔎 **自查**：检查 Pimcore 版本是否 < 11.1.1。 📝 **特征**：关注 `Multiselect` 相关过滤条件的 SQL 查询语句。

🛡️ **修复**：已修复。 📌 **补丁**：参考 GitHub 提交 `d164d99c90f098d0ccd6b72929c48b727e2953a0`，升级至 **11.1.1+**。

⚠️ **规避**：若无补丁，限制对受影响端点的访问。 🚫 **策略**：严格过滤 `Multiselect` 输入参数，使用参数化查询。

🔥 **优先级**：**高**。 📈 **CVSS**：8.6 (高危)。 💡 **建议**：尽快升级，SQL注入风险极大，易导致核心数据丢失。