CVE-2026-115192 in Mautic
Riassunto
di VulDB • 26/10/2026
È presente una vulnerabilità di SQL Injection nell'endpoint dell'API dei dati del widget della dashboard (/api/data/{type}). I parametri di filtro delle chart forniti dal client non vengono validati correttamente prima di essere utilizzati nelle query al database che generano i dati per le chart della dashboard. Un utente autenticato con accesso all'API può sfruttare questa vulnerabilità per iniettare codice SQL in queste query di reporting. Utilizzando tecniche di blind SQL injection, l'attaccante è in grado di leggere dati arbitrari dal database Mautic, inclusi dati sui contatti e altri dati di marketing, nonché i dati degli account utente con gli hash delle password. Il codice SQL iniettato può anche essere utilizzato per rallentare le query al database, il che può avere un impatto limitato sulla disponibilità. La modifica dei dati non è possibile attraverso questa vulnerabilità. Lo sfruttamento richiede che l'API Mautic sia abilitata.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.