RCE i inne podatności w Mautic: co naprawiliśmy w 7.2.2

Najpierw PHP, teraz Mautic

21 października zespół PHP opublikował komunikat o dwóch krytycznych podatnościach RCE, umożliwiających zdalne wykonanie kodu bez uwierzytelnienia. Poprawki trafiły do PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35.

Sama aktualizacja Mautic nie usuwa tych błędów w PHP. Zainstaluj też poprawki dla używanej wersji PHP lub odpowiednie pakiety od dostawcy systemu. Przy zmianie wersji PHP sprawdź jej zgodność z Mautic.

Co obejmuje wydanie

Mautic 7.2.2 usuwa osiem podatności, a 6.0.10 i 5.2.12 po siedem. Łącznie naprawiliśmy dziewięć różnych podatności. Część z nich występuje w kilku gałęziach.

• Mautic 7.2.2 — osiem poprawek bezpieczeństwa oraz poprawki błędów w gałęzi 7.
• Mautic 6.0.10 — siedem poprawek bezpieczeństwa dla gałęzi 6.
• Mautic 5.2.12 — siedem poprawek bezpieczeństwa dla gałęzi 5.
• Mautic 4.4.21 ELTS — wydanie dla uczestników programu Extended Long Term Support.

Jakie problemy zostały naprawione

Poprawki obejmują obejście sandboxa Twig w szablonach motywów, SQL injection w wyszukiwaniu kontaktów i API widżetów dashboardu, odczyt plików przez path traversal w API zasobów, błędy kontroli dostępu w API statystyk oraz otwarte przekierowanie przy wysyłaniu formularza. Mautic 7.2.2 usuwa także stored XSS w polu kontaktu typu HTML.

Zakres poprawek zależy od gałęzi. Na przykład:

• CVE-2026-115188: zdalne wykonanie kodu przy imporcie kampanii to podatność w Mautic 7, naprawiona w 7.2.2. Do jej wykorzystania potrzebne jest konto z uprawnieniem do importu kampanii. Skutki zależą też od konfiguracji serwera.
• CVE-2026-115190: niebezpieczna deserializacja filtrów segmentów i pól niestandardowych została naprawiona w 5.2.12 i 6.0.10. W gałęzi 7 poprawka była już dostępna od 7.2.0.

Wersje dotknięte poszczególnymi podatnościami i warunki ich wykorzystania znajdziesz w opisach podlinkowanych zgłoszeń.

Mój udział w wydaniu

Jako Release Leader koordynowałem wydania 7.2.2, 6.0.10 i 5.2.12. Przygotowałem poprawki zdalnego wykonania kodu przy imporcie kampanii oraz niebezpiecznej deserializacji filtrów segmentów i pól niestandardowych. Przeglądałem też poprawki pozostałych podatności.

Dziękuję badaczom bezpieczeństwa, Janowi Linhartowi, Martinowi Vooremäe oraz sponsorowi wydania, firmie Leuchtfeuer Digital Marketing GmbH.

ELTS 4.4.21 dla uczestników programu

Równolegle przygotowałem Mautic 4.4.21 w ramach Extended Long Term Support (ELTS). Wersja jest dostępna dla uczestników programu.

Jak przygotować aktualizację

1. Sprawdź aktualną wersję Mautic, wymagania docelowego wydania oraz zgodność pluginów i integracji.
2. Wykonaj kopię bazy danych, plików i konfiguracji. Sprawdź możliwość jej odtworzenia.
3. Zaktualizuj środowisko testowe z wyłączoną wysyłką do odbiorców i przygotuj plan powrotu.
4. Sprawdź kampanie, formularze, motywy, API, integracje, crony, kolejki i logi.
5. Wdróż aktualizację na produkcji w ustalonym oknie, powtórz testy i monitoruj działanie instalacji.

Więcej o przygotowaniu aktualizacji napisałem we wpisie o Mautic 7.1.2.

← Wszystkie publikacje