Mautic Core: Server-side Template Injection in der Theme-Rendering-Sandbox
Zusammenfassung
Eine Server-side Template Injection in der Twig-Theme-Rendering-Sandbox von Mautic erlaubt es, dass ein manipuliertes Theme-Template die Sandbox verlässt. Dies ist eine unvollständige Behebung von GHSA-9fx4-7cmj-47vg (CVE-2026-9558). Ein authentifizierter Benutzer mit der Berechtigung core:themes:create kann ein bösartiges Theme hochladen und Code auf dem Server als Prozess des Webservers ausführen, was das Lesen von Konfigurationsdateien und Datenbank-Zugangsdaten, das Schreiben von Dateien und den Zugriff auf interne Dienste ermöglicht.
Betroffen
- mautic/core von 1.3.0 bis vor 5.2.12
- mautic/core von 6.0.0 bis vor 6.0.10
- mautic/core von 7.0.0 bis vor 7.2.2
- Mautic 4.x: Unbekannt (die Behebung für 4.4 wird nur über ELTS verteilt)
Behoben in
- 5.2.12
- 6.0.10
- 7.2.2
- Mautic 4.4: Behebung nur über ELTS beim Hersteller erhältlich; Version im Advisory nicht genannt
Umgehung
- Es existieren keine offiziellen Workarounds.
- Die Berechtigung core:themes:create nur vertrauenswürdigen Administratorkonten zuweisen.
- Die Erstellung von Themes nicht an Rollen auf Operator-Stufe delegieren.
Ausnutzung
- Authentifizierung erforderlich: Es wird ein gültiges Konto mit core:themes:create benötigt (CVSS PR:L).
- CISA SSVC: Exploitation none, nicht automatisierbar.
- Zum Zeitpunkt der Recherche wurde keine bestätigte Ausnutzung in freier Wildbahn gefunden.
- Ein öffentlicher Proof of Concept wird von einer nicht verifizierten Quelle gemeldet und ist nicht bestätigt.
Unsere Empfehlung
- Alle Mautic-Installationen und deren Versionen inventarisieren, einschliesslich allfälliger 4.x-Instanzen.
- Auf 5.2.12, 6.0.10 oder 7.2.2 aktualisieren; für 4.x die ELTS-Behebung beim Hersteller beziehen.
- Bis zum Update core:themes:create auf benannte, vertrauenswürdige Administratoren beschränken und MFA für Admin-Konten erzwingen.
- Hochgeladene Themes und Admin-Aktivitätsprotokolle auf unerwartete Theme-Uploads prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-h7pm-79gc-8867 github.com
- Mautic 5.2.12 release github.com
- Predecessor advisory GHSA-9fx4-7cmj-47vg github.com
- Fix PR for 6.0 github.com
- Fix PR for 5.2 github.com
- Fix PR for 7.2 github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 10:33.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.