CVE-2026-9811
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
W systemie Mautic 7 występuje podatność na trwały atak XSS w komponencie selektora projektów. Aplikacja nie oczyszcza nazw projektów zwracanych przez AJAX przed wstrzyknięciem ich do DOM, co pozwala uwierzytelnionemu użytkownikowi na przechowywanie złośliwego skryptu.
Ocena ryzyka
Ryzyko obejmuje przejęcie sesji administratora, nieautoryzowane działania oraz dostęp do danych organizacyjnych w panelu.
Rekomendacja
Zaleca się aktualizację Mautic do wersji nowszej niż 7 oraz wdrożenie sanityzacji danych wyjściowych dla nazw projektów.
Inne podatności w Mautic
Zobacz wszystkie- CVE-2017-1000046Wysokie
Mautic w wersji 2.6.1 i wcześniejszych nie ustawia flag na ciasteczkach sesyjnych, co może prowadzić do nieautoryzowanego dostępu do sesji użytkowników.
- CVE-2017-8874Wysokie
Wielokrotne podatności typu cross-site request forgery (CSRF) w Mautic 1.4.1 umożliwiają zdalnym atakującym przejęcie uwierzytelnienia użytkowników dla żądań, które mogą (1) usuwać kampanie e-mailowe lub (2) usuwać kontakty.
- CVE-2026-9559Krytyczne
W funkcji importu kampanii w Mautic 7 wykryto podatność na path traversal. Podczas rozpakowywania przesłanych plików ZIP w ramach importu kampanii, błąd w logice walidacji umożliwia wyjście ścieżek plików poza zamierzone katalogi tymczasowe. Uwierzytelniony użytkownik z uprawnieniami do importu kampanii może zapisać dowolne pliki PHP do wrażliwych katalogów systemowych, co prowadzi do zdalnego wykonania kodu (RCE) w kontekście użytkownika serwera WWW.
- CVE-2026-9558Krytyczne
W silniku motywów Mautic wykryto podatność na wstrzykiwanie szablonów po stronie serwera (SSTI). Platforma renderuje przesłane szablony Twig bez piaskownicy lub ścisłych ograniczeń funkcji, co pozwala uwierzytelnionym użytkownikom z uprawnieniami do tworzenia lub przesyłania motywów na zdalne wykonanie kodu (RCE) oraz dostęp do zastrzeżonych plików systemowych i konfiguracji.
- CVE-2026-9809Wysokie
W komponencie Projektów w Mautic 7 wykryto podatność na trwały atak XSS. Nazwy projektów dostarczane przez użytkownika są wyświetlane bez odpowiedniego oczyszczania w widokach administracyjnych, co umożliwia wstrzyknięcie złośliwego skryptu.
- CVE-2026-9808Wysokie
Podatność w API v2 Mautic 7 (API Platform) pozwala na ominięcie kontroli dostępu opartej na właścicielu. Role z ograniczeniami do własnych zasobów (np. `viewown`, `editown`) nie są prawidłowo egzekwowane, co umożliwia uwierzytelnionym użytkownikom o niskich uprawnieniach dostęp do zasobów innych użytkowników.
- CVE-2026-9557Średnie
W komponencie Focus platformy Mautic występuje podatność Server-Side Request Forgery (SSRF). Z powodu niewystarczającej walidacji adresów URL dostarczanych przez użytkownika, uwierzytelniony użytkownik może zainicjować wychodzące żądania HTTP z serwera hostingowego, umożliwiając rozpoznanie wewnętrznej sieci lub wymuszenie żądań do dowolnych wewnętrznych lub zewnętrznych celów.
- CVE-2026-4776Wysokie
Podatność SQL Injection w mechanizmie filtrowania kontaktów API Mautic. Uwierzytelniony użytkownik API może ominąć filtrowanie wejścia i wstrzyknąć dowolne polecenia SQL z powodu niewystarczającego rekurencyjnego oczyszczania zagnieżdżonych parametrów zapytania.
Oryginalny opis (angielski, źródło NVD)
A stored Cross-Site Scripting (XSS) vulnerability exists in the project selector component of Mautic 7. When rendering selection menus for associating projects with system entities, the application fails to sanitize project names returned via AJAX before injecting them into the DOM as option fields. An authenticated user with permissions to create projects can exploit this to store a malicious script payload in the project's name. When another administrative user subsequently opens an entity editor containing the project selector, the injected script executes within the context of their active browser session. This could allow an attacker to hijack the session, perform unauthorized state coordination, or access organizational data within the dashboard.