CVE-2026-115190
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
W obsłudze filtrów segmentów i niestandardowych właściwości pól przez Mautic występuje luka w zabezpieczeniach związana z niebezpieczną deserializacją (wstrzykiwaniem obiektów PHP). Kilka ścieżek kodu, które odczytują te zapisane wartości z bazy danych, deserializuje je bez ograniczania, które klasy PHP mogą być tworzone, zamiast korzystać z bezpiecznego pomocnika deserializacji Mautic. Osoba atakująca, która jest w stanie przechowywać spreparowaną serializowaną wartość w filtrze segmentu lub niestandardowych właściwościach pól, może spowodować utworzenie instancji dowolnych obiektów PHP, gdy Mautic później przetworzy dane, na przykład podczas oceny segmentu, eksportu kontaktów lub żądań API pól niestandardowych. W połączeniu z łańcuchami gadżetów dostępnymi w zależnościach Mautic, może to umożliwić atakującemu wykonanie dowolnego kodu na serwerze, odczytanie, zmodyfikowanie lub usunięcie danych przechowywanych w instancji Mautic, w tym danych kontaktowych, i wpłynąć na ich dostępność. Eksploatacja wymaga wysokich uprawnień lub istniejącej możliwości zapisu w przechowywanych danych, których dotyczy problem.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org