CVE-2026-115194
ŚrednieCVSS 6.5Streszczenie
W API zasobów Mautic istnieje podatność na path traversal. Podczas tworzenia lokalnego zasobu przez API dostarczona ścieżka pliku nie jest ograniczona do katalogu przesyłania zasobów. Uwierzytelniony użytkownik API z uprawnieniem do tworzenia zasobów może zarejestrować dowolny plik czytelny dla procesu serwera WWW jako zasób Mautic. Po opublikowaniu zasobu jego publiczny adres URL do pobrania udostępnia zawartość tego pliku bez uwierzytelnienia. Pozwala to atakującemu na odczyt dowolnych plików z serwera, w tym plików konfiguracyjnych Mautic zawierających hasło do bazy danych, klucz tajny i dane uwierzytelniające poczty (SMTP), a także plików systemowych i wszelkich innych plików czytelnych dla użytkownika serwera WWW. Ujawnione dane uwierzytelniające mogą być użyte do dostępu do bazy danych lub innych połączonych usług, a każdy, kto zna publiczny adres URL zasobu, może pobrać zawartość pliku.
Ocena ryzyka
Atakujący może odczytać wrażliwe pliki konfiguracyjne i uzyskać dane uwierzytelniające do bazy danych i usług pocztowych, co może prowadzić do pełnej kompromitacji systemu.
Rekomendacja
Zaktualizuj Mautic do wersji, która naprawia tę podatność, oraz ogranicz uprawnienia do tworzenia zasobów tylko do zaufanych użytkowników.
Inne podatności w Mautic
Zobacz wszystkie- CVE-2026-115196Średnie
W publicznym punkcie końcowym przesyłania formularzy (/form/submit) Mautic istnieje podatność na otwarte przekierowanie. Po przesłaniu formularza aplikacja przekierowuje odwiedzającego na adres zwrotny dostarczony wraz z przesłaniem, bez weryfikacji, czy wskazuje on na instancję Mautic lub inny zaufany host. Nieuwierzytelniony atakujący może to wykorzystać, aby wysłać odwiedzających z legalnej domeny Mautic na dowolną zewnętrzną stronę internetową, na przykład na strony phishingowe imitujące oryginalną stronę docelową lub na strony dostarczające złośliwe oprogramowanie. Dotyczy to każdej instancji Mautic z opublikowanym formularzem. Wykorzystanie wymaga, aby ofiara przesłała formularz przygotowany przez atakującego.
- CVE-2026-115195Średnie
W API statystyk Mautic (/api/stats/{table}) istnieje podatność na złamanie kontroli dostępu. Punkt końcowy nie wymuszał uprawnień dla kilku wewnętrznych tabel: zamierzona restrykcja tylko dla administratora nigdy nie została zastosowana, a tabele bez jawnego mapowania uprawnień były domyślnie czytelne. W rezultacie każdy uwierzytelniony użytkownik API, w tym taki, którego rola nie przyznaje żadnych uprawnień, mógł odczytać dane z tych tabel, w tym dziennik audytu aplikacji z akcjami wykonywanymi przez wszystkich użytkowników i szczegółami zmian, które mogą zawierać dane osobowe kontaktów, przechowywane adresy IP odwiedzających i ich dane geolokalizacyjne oraz śledzone adresy URL przekierowań i ich mapowania kanałów.
- CVE-2026-115193Wysokie
W widoku szczegółów kontaktu Mautic 7 występuje podatność typu stored XSS — wartości pól niestandardowych typu HTML są renderowane bez sanityzacji wyjścia. Użytkownik lub integracja mogąca zapisać wartość w takim polu może umieścić w nim payload skryptu, który wykona się w sesji przeglądarki innego użytkownika, w tym administratora, otwierającego stronę kontaktu.
- CVE-2026-115192Wysokie
W endpointcie API danych widgetów dashboardu Mautic (/api/data/{type}) występuje podatność na wstrzyknięcie SQL — parametry filtrów wykresów nie są prawidłowo walidowane przed użyciem w zapytaniach do bazy. Uwierzytelniony użytkownik z dostępem do API może za pomocą technik blind SQL injection odczytać dowolne dane z bazy Mautic, w tym dane kontaktów i kont użytkowników z hashami haseł.
- CVE-2026-115191Wysokie
W endpointcie AJAX wyszukiwania kontaktów interfejsu administracyjnego Mautic (/s/ajax) występuje podatność na wstrzyknięcie SQL — parametr wybierający pole kontaktu do wyszukiwania nie jest prawidłowo walidowany przed użyciem w zapytaniu do bazy. Każdy uwierzytelniony użytkownik Mautic może to wykorzystać niezależnie od roli i uprawnień, odczytując dowolne dane dostępne dla użytkownika bazy Mautic.
- CVE-2026-115190Wysokie
W obsłudze filtrów segmentów i właściwości pól niestandardowych Mautic występuje podatność na niebezpieczną deserializację (PHP object injection) — kilka ścieżek kodu odczytuje te wartości z bazy i deserializuje je bez ograniczenia klas PHP, zamiast używać bezpiecznego helpera Mautic. Atakujący mogący zapisać spreparowaną wartość serializowaną może spowodować utworzenie dowolnych obiektów PHP podczas przetwarzania danych, a w połączeniu z gadget chains w zależnościach Mautic — wykonanie dowolnego kodu na serwerze.
- CVE-2026-115189Wysokie
W sandboxie renderowania motywów Twig w Mautic występuje podatność na server-side template injection — sandbox wprowadzony w poprawce GHSA-9fx4-7cmj-47vg nie egzekwuje w pełni ograniczeń, pozwalając spreparowanemu szablonowi motywu na ucieczkę z sandboxa. Uwierzytelniony użytkownik z uprawnieniem core:themes:create może przesłać złośliwy motyw, którego szablon zostanie później wyrenderowany, co prowadzi do wykonania dowolnego kodu z uprawnieniami procesu serwera WWW.
- CVE-2017-1000046Wysokie
Mautic w wersji 2.6.1 i wcześniejszych nie ustawia flag na ciasteczkach sesyjnych, co może prowadzić do nieautoryzowanego dostępu do sesji użytkowników.
- CVE-2017-8874Wysokie
Wielokrotne podatności typu cross-site request forgery (CSRF) w Mautic 1.4.1 umożliwiają zdalnym atakującym przejęcie uwierzytelnienia użytkowników dla żądań, które mogą (1) usuwać kampanie e-mailowe lub (2) usuwać kontakty.
- CVE-2026-115188Krytyczne
W funkcji importu kampanii Mautic 7 istnieje luka umożliwiająca nieograniczone przesyłanie plików. Aplikacja kopiuje dołączone pliki zasobów do publicznie dostępnego katalogu mediów bez ograniczeń nazw i typów plików. Uwierzytelniony użytkownik z uprawnieniem do tworzenia importów kampanii może umieścić dowolne pliki, w tym skrypty serwerowe, w katalogu głównym serwera WWW, co na serwerach Apache prowadzi do zdalnego wykonania kodu.
Oryginalny opis (angielski, źródło NVD)
A path traversal vulnerability exists in the Mautic Asset API. When creating a local asset through the API, the supplied file path is not restricted to the asset upload directory. An authenticated API user with permission to create assets can register any file that is readable by the web server process as a Mautic asset. When the asset is published, its public download URL serves the contents of that file without authentication. This allows the attacker to read arbitrary files from the server, including Mautic configuration files containing the database password, secret key, and mail (SMTP) credentials, as well as system files and any other file readable by the web server user. Exposed credentials can be used to access the database or other connected services, and anyone with the public asset URL can retrieve the file contents.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS