Pimcore v2026.3.4: Sicherheitskorrekturen und Verbesserungen im Überblick

Die am 3. November 2026 veröffentlichte Pimcore-Version v2026.3.4 behebt mehrere Sicherheitsprobleme. Eine Korrektur betrifft die Ermittlung der Seitenzahl mit Ghostscript: Über Dateinamen von Assets konnten dabei PostScript-Anweisungen eingeschleust werden. Außerdem wird beim Wiederherstellen gespeicherter Blockdaten stärker eingeschränkt, welche Klassen zugelassen sind. Bei der Erzeugung von Klassendateien wird die angegebene übergeordnete Klasse geprüft.

Die abgeschirmte Ausführungsumgebung für Twig-Vorlagen begrenzt nun den Zugriff auf Anfragedaten und die Diagnosefunktion pimcore_dump. Eine weitere Korrektur betrifft das Zusammenspiel der Twig-Konfiguration mit zusätzlichen Erweiterungen.

Texte, Sprachen und Datenobjekte

Im Texteditor bleiben Links auf unveröffentlichte Elemente sowohl bei der Bearbeitung als auch in den gespeicherten Inhalten erhalten. Bei der Neuzuordnung interner Kennungen bleibt der Editorinhalt unverändert, wenn keine passende Zuordnung vorliegt.

Mehrere Fehlerbehebungen betreffen mehrsprachige Felder. Eine leere Einstellung für Pflichtsprachen verhindert deren Veröffentlichung nicht mehr. Wenn Sie ausschließlich Inhalte einfügen, bleiben nicht bearbeitbare Sprachversionen erhalten. Beim Speichern von Definitionen für Feldsammlungen und Objektbausteine werden sprachabhängige Feldcontainer nicht mehr dupliziert.

Dynamisch erzeugte Auswahlmöglichkeiten werden beim Laden eines Objekts nur einmal je sprachabhängigem Feld abgefragt. Datumsfelder in sprachabhängigen Datenbankansichten werden nicht mehr auf leere Zeichenketten geprüft. Nachgeladene Blöcke innerhalb mehrsprachiger Felder funktionieren auch ohne zuvor vorhandenen Kontext.

Beim Speichern eines Datenobjekts werden rückwärts gerichtete Verknüpfungen nicht mehr geladen. Bei der Aufbereitung erweiterter Mehrfachverknüpfungen werden veraltete Beziehungseinträge übersprungen. Die Speicherung von Workflow-Zuständen unterstützt nun auch Feldnamen mit Unterstrichen.

Bilder, Vorschauen und Seitenadressen

Vorschaubilder, die aus dem Speicher ausgeliefert werden, werden nun im Statuszwischenspeicher erfasst. Die nächtliche Aufgabe zur Erstellung von Bildvorschauen mit niedriger Qualität läuft nur einmal pro Nacht. Bei der Bildverarbeitung mit Imagick wird außerdem der jeweils vorgesehene Freistellpfad berücksichtigt.

Seitenvorschauen beachten den konfigurierten Adresspräfix. Ändern sich Websites, wird der Zwischenspeicher für die Zuordnung ihrer Pfade geleert. Eine weitere Korrektur betrifft die Auflösung lesbarer Seitenadressen: Die Adressen der Hauptwebsite werden auch dann aufgelöst, wenn eine untergeordnete Website dieselbe Adresse verwendet.

Ein zwischengespeichertes Ergebnis der Domainprüfung wird verworfen, solange der Laufzeit-Zwischenspeicher deaktiviert ist.

Auftragsverarbeitung, Übersetzungen und Verwaltung

Die allgemeine Ausführungssteuerung kennzeichnet einen Durchlauf auch dann als fehlerhaft abgeschlossen, wenn nur einzelne Elemente eines Verarbeitungsschritts scheitern. Das Datenbankfeld für den Kontext eines Auftragsdurchlaufs lässt nun auch einen nicht gesetzten Wert zu.

In der Tabellenkonfiguration bleiben untergeordnete Blockelemente erhalten, wenn das Layout für Personen ohne Administratorrechte gefiltert wird.

Bei Übersetzungen wurde ein Fehler behoben, durch den jeder Übersetzungsaufruf eine Datenbankabfrage auslöste. Beim Anlegen fehlender Übersetzungsschlüssel wird zudem der zugehörige Übersetzungsbereich übergeben.

Das Werkzeug zur statischen Codeprüfung PHPStan wurde auf Version 2.3.1 aktualisiert. Die Dokumentation ergänzt einen Hinweis zum erforderlichen erneuten Laden bei indexbasierten Namen bearbeitbarer Elemente in Blöcken.