CVE-2017-8874
WysokieStreszczenie
Wielokrotne podatności typu cross-site request forgery (CSRF) w Mautic 1.4.1 umożliwiają zdalnym atakującym przejęcie uwierzytelnienia użytkowników dla żądań, które mogą (1) usuwać kampanie e-mailowe lub (2) usuwać kontakty.
Ocena ryzyka
Atakujący mogą wykorzystać te podatności do nieautoryzowanego usunięcia ważnych danych, co może prowadzić do utraty informacji i zakłócenia działalności organizacji.
Rekomendacja
Zaleca się aktualizację Mautic do najnowszej wersji, aby usunąć te podatności oraz wdrożenie dodatkowych zabezpieczeń przeciwko CSRF.
Inne podatności w Mautic 1.4.1
Zobacz wszystkie- CVE-2017-1000046Wysokie
Mautic w wersji 2.6.1 i wcześniejszych nie ustawia flag na ciasteczkach sesyjnych, co może prowadzić do nieautoryzowanego dostępu do sesji użytkowników.
- CVE-2026-9559Krytyczne
W funkcji importu kampanii w Mautic 7 wykryto podatność na path traversal. Podczas rozpakowywania przesłanych plików ZIP w ramach importu kampanii, błąd w logice walidacji umożliwia wyjście ścieżek plików poza zamierzone katalogi tymczasowe. Uwierzytelniony użytkownik z uprawnieniami do importu kampanii może zapisać dowolne pliki PHP do wrażliwych katalogów systemowych, co prowadzi do zdalnego wykonania kodu (RCE) w kontekście użytkownika serwera WWW.
- CVE-2026-9558Krytyczne
W silniku motywów Mautic wykryto podatność na wstrzykiwanie szablonów po stronie serwera (SSTI). Platforma renderuje przesłane szablony Twig bez piaskownicy lub ścisłych ograniczeń funkcji, co pozwala uwierzytelnionym użytkownikom z uprawnieniami do tworzenia lub przesyłania motywów na zdalne wykonanie kodu (RCE) oraz dostęp do zastrzeżonych plików systemowych i konfiguracji.
- CVE-2026-9811Średnie
W systemie Mautic 7 występuje podatność na trwały atak XSS w komponencie selektora projektów. Aplikacja nie oczyszcza nazw projektów zwracanych przez AJAX przed wstrzyknięciem ich do DOM, co pozwala uwierzytelnionemu użytkownikowi na przechowywanie złośliwego skryptu.
- CVE-2026-9809Wysokie
W komponencie Projektów w Mautic 7 wykryto podatność na trwały atak XSS. Nazwy projektów dostarczane przez użytkownika są wyświetlane bez odpowiedniego oczyszczania w widokach administracyjnych, co umożliwia wstrzyknięcie złośliwego skryptu.
- CVE-2026-9808Wysokie
Podatność w API v2 Mautic 7 (API Platform) pozwala na ominięcie kontroli dostępu opartej na właścicielu. Role z ograniczeniami do własnych zasobów (np. `viewown`, `editown`) nie są prawidłowo egzekwowane, co umożliwia uwierzytelnionym użytkownikom o niskich uprawnieniach dostęp do zasobów innych użytkowników.
- CVE-2026-9557Średnie
W komponencie Focus platformy Mautic występuje podatność Server-Side Request Forgery (SSRF). Z powodu niewystarczającej walidacji adresów URL dostarczanych przez użytkownika, uwierzytelniony użytkownik może zainicjować wychodzące żądania HTTP z serwera hostingowego, umożliwiając rozpoznanie wewnętrznej sieci lub wymuszenie żądań do dowolnych wewnętrznych lub zewnętrznych celów.
- CVE-2026-4776Wysokie
Podatność SQL Injection w mechanizmie filtrowania kontaktów API Mautic. Uwierzytelniony użytkownik API może ominąć filtrowanie wejścia i wstrzyknąć dowolne polecenia SQL z powodu niewystarczającego rekurencyjnego oczyszczania zagnieżdżonych parametrów zapytania.
Oryginalny opis (angielski, źródło NVD)
Multiple cross-site request forgery (CSRF) vulnerabilities in Mautic 1.4.1 allow remote attackers to hijack the authentication of users for requests that (1) delete email campaigns or (2) delete contacts.