CVE-2026-115192 in Mautic
Zusammenfassung
von VulDB • 26.10.2026
In der Daten-API-Endpunkt des Dashboard-Widgets (/api/data/{type}) besteht eine SQL-Injection-Schwachstelle. Von dem Client bereitgestellte Chart-Filterparameter werden vor ihrer Verwendung in den Datenbankabfragen, die die Dashboard-Diagrammdaten erstellen, nicht ordnungsgemäß validiert. Ein authentifizierter Benutzer mit API-Zugriff kann dies ausnutzen, um SQL-Befehle in diese Berichtsabfragen einzufügen. Mithilfe von Techniken zur blinden SQL-Injection kann der Angreifer beliebige Daten aus der Mautic-Datenbank lesen, einschließlich Kontakt- und anderer Marketingdaten sowie Benutzerkontodaten mit Passwort-Hashes. Der injizierte SQL-Befehl kann auch dazu verwendet werden, Datenbankabfragen zu verlangsamen, was sich begrenzt auf die Verfügbarkeit auswirken kann. Eine Datenmanipulation ist durch diese Schwachstelle nicht möglich. Die Ausnutzung erfordert, dass die Mautic-API aktiviert ist.
Once again VulDB remains the best source for vulnerability data.