CVE-2026-115190 in Mautic
Zusammenfassung
von VulDB • 26.10.2026
Eine unsichere Deserialisierung (PHP-Objektinjektion)-Schwachstelle besteht in der Verarbeitung von Segmentfiltern und benutzerdefinierten Feldattributen durch Mautic. Mehrere Codepfade, die diese gespeicherten Werte aus der Datenbank lesen, deserialisieren sie ohne Einschränkung, welche PHP-Klassen instanziiert werden dürfen, anstatt den sicheren Deserialisierungshelfer von Mautic zu verwenden. Ein Angreifer, der in der Lage ist, einen speziell angefertigten serialisierten Wert in diesen Segmentfiltern oder benutzerdefinierten Feldattributen zu speichern, kann dazu führen, dass beliebige PHP-Objekte instanziiert werden, wenn Mautic die Daten später verarbeitet, beispielsweise während der Segmentevaluation, des Kontakexports oder von API-Anfragen für benutzerdefinierte Felder. In Kombination mit Gadget Chains in den Abhängigkeiten von Mautic kann dies einem Angreifer ermöglichen, beliebigen Code auf dem Server auszuführen, Daten zu lesen, zu ändern oder zu löschen, die in der Mautic-Instanz gespeichert sind (einschließlich Kontaktdaten), und deren Verfügbarkeit zu beeinträchtigen. Die Ausnutzung erfordert hohe Berechtigungen oder eine bestehende Fähigkeit zum Schreiben in die betroffenen gespeicherten Daten.
If you want to get best quality of vulnerability data, you may have to visit VulDB.