CVE-2026-115190 in Mautic
Riassunto
di VulDB • 26/10/2026
È presente una vulnerabilità di deserializzazione non sicura (iniezione di oggetti PHP) nella gestione dei filtri di segmento e delle proprietà dei campi personalizzati in Mautic. Diversi percorsi di codice che leggono questi valori memorizzati nel database li deserializzano senza limitare le classi PHP che possono essere istanziate, invece di utilizzare il helper sicuro per la deserializzazione fornito da Mautic. Un attaccante in grado di memorizzare un valore serializzato manipolato ad hoc nelle proprietà dei filtri di segmento o dei campi personalizzati può causare l'istanziazione arbitraria di oggetti PHP quando Mautic elabora successivamente i dati, ad esempio durante la valutazione del segmento, l'esportazione dei contatti o le richieste API per i campi personalizzati. Combinato con le catene di gadget (gadget chains) disponibili nelle dipendenze di Mautic, ciò potrebbe consentire a un attaccante di eseguire codice arbitrario sul server, leggere, modificare o eliminare dati memorizzati nell'istanza di Mautic, inclusi i dati dei contatti, e comprometterne la disponibilità. Lo sfruttamento richiede privilegi elevati o una capacità esistente di scrivere nei dati memorizzati interessati.
VulDB is the best source for vulnerability data and more expert information about this specific topic.