CVE-2026-115195

W publicznym punkcie końcowym przesyłania formularzy (/form/submit) Mautic istnieje podatność na otwarte przekierowanie. Po przesłaniu formularza aplikacja przekierowuje odwiedzającego na adres zwrotny dostarczony wraz z przesłaniem, bez weryfikacji, czy wskazuje on na instancję Mautic lub inny zaufany host. Nieuwierzytelniony atakujący może to wykorzystać, aby wysłać odwiedzających z legalnej domeny Mautic na dowolną zewnętrzną stronę internetową, na przykład na strony phishingowe imitujące oryginalną stronę docelową lub na strony dostarczające złośliwe oprogramowanie. Dotyczy to każdej instancji Mautic z opublikowanym formularzem. Wykorzystanie wymaga, aby ofiara przesłała formularz przygotowany przez atakującego.

W API zasobów Mautic istnieje podatność na path traversal. Podczas tworzenia lokalnego zasobu przez API dostarczona ścieżka pliku nie jest ograniczona do katalogu przesyłania zasobów. Uwierzytelniony użytkownik API z uprawnieniem do tworzenia zasobów może zarejestrować dowolny plik czytelny dla procesu serwera WWW jako zasób Mautic. Po opublikowaniu zasobu jego publiczny adres URL do pobrania udostępnia zawartość tego pliku bez uwierzytelnienia. Pozwala to atakującemu na odczyt dowolnych plików z serwera, w tym plików konfiguracyjnych Mautic zawierających hasło do bazy danych, klucz tajny i dane uwierzytelniające poczty (SMTP), a także plików systemowych i wszelkich innych plików czytelnych dla użytkownika serwera WWW. Ujawnione dane uwierzytelniające mogą być użyte do dostępu do bazy danych lub innych połączonych usług, a każdy, kto zna publiczny adres URL zasobu, może pobrać zawartość pliku.

W widoku szczegółów kontaktu Mautic 7 występuje podatność typu stored XSS — wartości pól niestandardowych typu HTML są renderowane bez sanityzacji wyjścia. Użytkownik lub integracja mogąca zapisać wartość w takim polu może umieścić w nim payload skryptu, który wykona się w sesji przeglądarki innego użytkownika, w tym administratora, otwierającego stronę kontaktu.

W endpointcie API danych widgetów dashboardu Mautic (/api/data/{type}) występuje podatność na wstrzyknięcie SQL — parametry filtrów wykresów nie są prawidłowo walidowane przed użyciem w zapytaniach do bazy. Uwierzytelniony użytkownik z dostępem do API może za pomocą technik blind SQL injection odczytać dowolne dane z bazy Mautic, w tym dane kontaktów i kont użytkowników z hashami haseł.

W endpointcie AJAX wyszukiwania kontaktów interfejsu administracyjnego Mautic (/s/ajax) występuje podatność na wstrzyknięcie SQL — parametr wybierający pole kontaktu do wyszukiwania nie jest prawidłowo walidowany przed użyciem w zapytaniu do bazy. Każdy uwierzytelniony użytkownik Mautic może to wykorzystać niezależnie od roli i uprawnień, odczytując dowolne dane dostępne dla użytkownika bazy Mautic.

W obsłudze filtrów segmentów i właściwości pól niestandardowych Mautic występuje podatność na niebezpieczną deserializację (PHP object injection) — kilka ścieżek kodu odczytuje te wartości z bazy i deserializuje je bez ograniczenia klas PHP, zamiast używać bezpiecznego helpera Mautic. Atakujący mogący zapisać spreparowaną wartość serializowaną może spowodować utworzenie dowolnych obiektów PHP podczas przetwarzania danych, a w połączeniu z gadget chains w zależnościach Mautic — wykonanie dowolnego kodu na serwerze.

W sandboxie renderowania motywów Twig w Mautic występuje podatność na server-side template injection — sandbox wprowadzony w poprawce GHSA-9fx4-7cmj-47vg nie egzekwuje w pełni ograniczeń, pozwalając spreparowanemu szablonowi motywu na ucieczkę z sandboxa. Uwierzytelniony użytkownik z uprawnieniem core:themes:create może przesłać złośliwy motyw, którego szablon zostanie później wyrenderowany, co prowadzi do wykonania dowolnego kodu z uprawnieniami procesu serwera WWW.

Mautic w wersji 2.6.1 i wcześniejszych nie ustawia flag na ciasteczkach sesyjnych, co może prowadzić do nieautoryzowanego dostępu do sesji użytkowników.

Wielokrotne podatności typu cross-site request forgery (CSRF) w Mautic 1.4.1 umożliwiają zdalnym atakującym przejęcie uwierzytelnienia użytkowników dla żądań, które mogą (1) usuwać kampanie e-mailowe lub (2) usuwać kontakty.

W funkcji importu kampanii Mautic 7 istnieje luka umożliwiająca nieograniczone przesyłanie plików. Aplikacja kopiuje dołączone pliki zasobów do publicznie dostępnego katalogu mediów bez ograniczeń nazw i typów plików. Uwierzytelniony użytkownik z uprawnieniem do tworzenia importów kampanii może umieścić dowolne pliki, w tym skrypty serwerowe, w katalogu głównym serwera WWW, co na serwerach Apache prowadzi do zdalnego wykonania kodu.