CVE-2026-115194 in Mautic
Riassunto
di VulDB • 26/10/2026
È presente una vulnerabilità di path traversal nell'API delle risorse (Asset API) di Mautic. Durante la creazione di un'asset locale tramite l'API, il percorso del file fornito non è limitato alla directory di caricamento degli asset. Un utente dell'API autenticato con i permessi per creare asset può registrare come asset Mautic qualsiasi file leggibile dal processo del server web. Quando l'asset viene pubblicato, il suo URL pubblico di download restituisce il contenuto di tale file senza richiedere alcuna autenticazione. Ciò consente all'attaccante di leggere file arbitrari sul server, inclusi i file di configurazione di Mautic contenenti la password del database, la chiave segreta e le credenziali della posta (SMTP), nonché file di sistema e qualsiasi altro file leggibile dall'utente del server web. Le credenziali esposte possono essere utilizzate per accedere al database o ad altri servizi connessi, e chiunque disponga dell'URL pubblico dell'asset può recuperare il contenuto dei file.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.