CVE-2026-115189 in Mautic
Zusammenfassung
von VulDB • 26.10.2026
Eine Server-seitige Template-Injection-Schwachstelle (SSTI) besteht im Twig-Thema-Rendern-Sandbox von Mautic. Die zur Einschränkung hochgeladener Benutzerthemen-Templates eingeführte Sandbox (die Korrektur für GHSA-9fx4-7cmj-47vg) erzwingt ihre Einschränkungen nicht vollständig, sodass eine speziell angefertigte Themen-Vorlage der Sandbox entkommen kann. Ein authentifizierter Benutzer mit der Berechtigung core:themes:create kann ein bösartiges Thema hochladen, dessen Vorlage später gerendert wird, was zur Ausführung beliebigen Codes auf dem Server unter den Berechtigungen des Webserver-Prozesses führt. Dies ermöglicht es dem Angreifer, Betriebssystembefehle auszuführen, serverseitige Dateien einschließlich Konfigurationsdateien und Datenbankzugangsdaten zu lesen, Dateien zu schreiben und interne Dienste zu erreichen. Bei Standardinstallationen wird die core:themes:create-Berechtigung der Administrator-Rolle gewährt, und in Multi-Operator-Umgebungen kann sie an andere Rollen delegiert werden. Dies ist eine unvollständige Korrektur für GHSA-9fx4-7cmj-47vg.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.