Pimcore Open Source v12.3.12: Korrekturen für Datenobjekte, Sicherheit und Backend-Stabilität

Veröffentlichung und Schwerpunkt der Version

Pimcore v12.3.12 wurde am 27. Juli 2026 veröffentlicht. Die Version enthält eine Reihe von Korrekturen in der Open-Source-Ausgabe. Im Mittelpunkt stehen Fehlerbehebungen bei Datenobjekten, Berechtigungen, Berichten, Suche, Pfaden und mehreren sicherheitsrelevanten Bereichen.

Eine auffällige Änderung betrifft Standardwerte in Datenfeldern. Ein Fehler wurde behoben, bei dem ein defaultValue nicht mehr korrekt auf null gesetzt werden konnte. Dies konnte zu Problemen mit eindeutigen Datenbankeinträgen führen. Ebenfalls angepasst wurde der Umgang mit älteren Link-Feldern, in denen noch null-Werte vorhanden sein konnten. Beim Laden entsprechender Datenobjekte konnte es zuvor zu einem Fehler kommen.

Änderungen bei Datenobjekten, Feldern und Pfaden

Mehrere Anpassungen betreffen den Umgang mit Feldsammlungen und Datenobjekt-Listen. Feldnamen in FieldCollections werden nun in bestimmten Abfragen korrekt behandelt. Zudem wird der Typ einer FieldCollection geprüft, wenn sie einer Liste hinzugefügt wird. Dadurch werden fehlerhafte oder unerwartete Angaben früher abgefangen.

Auch bei Beziehungen zwischen Objekten gab es eine Korrektur. Bei ReverseObjectRelation wurde ein unnötiger Datenbankzugriff verhindert. Im Bereich der Klassifikationsspeicher werden nun auch Schlüssel akzeptiert, deren Namen nicht den üblichen Regeln für technische Bezeichner entsprechen.

Für Pfade wurde eine Korrektur ergänzt, die vor allem Namen mit Akzenten betrifft. Die Funktion getByPath() kann nun auch normalisierte Varianten eines Pfads berücksichtigen. Dadurch lassen sich Elemente mit entsprechend geschriebenen Namen zuverlässiger finden.

Berichte, Suche und Berechtigungen

Im Bereich Custom Reports wurden mehrere Punkte geändert. CSV-Exportdateien werden nun an den anfragenden Benutzer gebunden. Außerdem wurde die Aktualisierung von Custom Reports auf ausdrücklich erlaubte Felder beschränkt. Bei Fehlern in der Spaltenkonfiguration werden keine rohen Datenbankfehlermeldungen mehr zurückgegeben.

Für Custom Reports wurde außerdem eine Konfiguration ergänzt, mit der einzelne Adapter aktiviert oder deaktiviert werden können. Das betrifft Umgebungen, in denen nicht alle Berichtsquellen verwendet werden sollen.

Auch die Suche wurde angepasst. Ein Fehler in der einfachen Backend-Suche, der zu einem „Request-URI Too Large“-Fehler führen konnte, wurde behoben. Bei Arbeitsbereichsberechtigungen wurde die Prüfung von Pfadgrenzen korrigiert. Diese Änderung betrifft Fälle, in denen Berechtigungen entlang von Pfadstrukturen ausgewertet werden.

Sicherheitsrelevante Korrekturen und weitere Anpassungen

Mehrere Änderungen betreffen die Verarbeitung von Eingaben und gespeicherten Daten. In Redirect-Listen wurde eine ausdrückliche Liste erlaubter Sortierspalten ergänzt. Im NotificationServiceFilterParser werden nicht erlaubte Filtereigenschaften zurückgewiesen. Bei der Verarbeitung serialisierter Daten wurden zulässige Klassen eingeschränkt, um Risiken durch unerwartete Objekte zu reduzieren. Zusätzlich wurden weitere Aufrufe von unserialize() abgesichert; der bisher großzügige Standard wird als veraltet markiert.

Die Twig-Sandbox erhielt eine konfigurierbare Regelung für den Zugriff auf Objekte und Funktionen. Dabei können erlaubte und gesperrte Zugriffe festgelegt werden.

Weitere Korrekturen betreffen das Video-Feld, bei dem der Vergleich falsche Ergebnisse liefern konnte, wenn kein Poster gesetzt war. Beim Erzeugen von Vorschaubildern wurde ein Fall behoben, in dem Thumbnails ohne Crop-Box nach einem Upgrade neu erstellt wurden. Temporäre Dateien von Messenger-Handlern werden nach Durchläufen oder Jobs entfernt. Außerdem wurde ein Problem beim Neuaufbau von Klassen in leeren PaaS-Instanzen korrigiert.