Mautic: Gespeichertes Cross-Site Scripting in Kontaktfeldern vom Typ HTML
Zusammenfassung
Mautic 7.0.0 bis 7.2.1 gibt Werte von benutzerdefinierten Kontaktfeldern vom Typ HTML in der Kontaktdetailansicht ohne Output-Sanitisierung aus. Ein Benutzer oder eine Integration, der beziehungsweise die einen Wert in ein solches Feld schreiben kann, etwa über die Kontaktbearbeitung, die API oder eine mit dem Feld verknüpfte Formularübermittlung, kann ein Skript speichern. Öffnet eine andere Person, auch ein Administrator, die Detailseite des betroffenen Kontakts, wird das Skript in der aktiven Browsersitzung dieser Person ausgeführt, sodass ein Angreifer im Namen des Opfers handeln kann, etwa indem er Administratorkonten anlegt, die Konfiguration ändert oder auf Kontakt- und Kampagnendaten zugreift.
Betroffen
- Mautic (mautic/core, Composer) 7.0.0 bis 7.2.1
- Mautic 6.x, 5.x und 4.x sind laut Hersteller nicht betroffen
Behoben in
- Mautic 7.2.2
Umgehung
- Der Hersteller stellt keinen offiziellen Workaround bereit.
- Berechtigungen zum Erstellen und Bearbeiten von Kontakten sowie den API-Zugriff auf vertrauenswürdige Benutzer beschränken.
- Öffentliche Formularfelder oder öffentlich aktualisierbare Einstellungen nicht auf Kontaktfelder vom Typ HTML abbilden.
Ausnutzung
- Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
- Nicht in der CISA-KEV-Liste enthalten.
- CISA SSVC: Exploitation none, Automatable no.
- Bei unseren Recherchen wurde kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Prüfen, ob die Installation Mautic 7.0.0 bis 7.2.1 einsetzt.
- Ein Update auf Mautic 7.2.2 oder neuer planen und durchführen.
- Bis zum Update die Schreibrechte für Kontaktbearbeitung und API beschränken und öffentliche Formularzuordnungen zu Kontaktfeldern vom Typ HTML entfernen.
- Bestehende Werte in Kontaktfeldern vom Typ HTML auf Skriptinhalte prüfen.
- Administratoren anweisen, vor dem Patch keine Kontakte aus nicht vertrauenswürdigen Quellen zu öffnen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-3295-vq3p-93rw github.com
- OpenCVE: CVE-2026-115193 app.opencve.io
- VulDB entry 426442 vuldb.com
- OffSeq Radar: CVE-2026-115193 radar.offseq.com
- Strix: CVE-2026-115193 www.strix.ai
- Mautic pull request 17934 (fix commit) github.com
- GitLab Advisory: CVE-2026-9811 (related Mautic 7 stored XSS) advisories.gitlab.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 14:57.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.