CVE-2026-9559

إصدارات Mautic من 7.0.0 إلى 7.1.1

يوجد عيب في تجاوز المسار في ميزة استيراد الحملات. أثناء استخراج ملفات ZIP التي تم تحميلها، يسمح خطأ في التحقق من الصحة لمسارات الملفات بالخروج من الدلائل المؤقتة المخصصة. يمكن للمستخدم المصادق عليه الذي يتمتع بامتيازات campaign:imports:create كتابة ملفات PHP عشوائية في الدلائل الحساسة للنظام، مما قد يؤدي إلى الكتابة فوق مكونات التكوين الداخلية أو مكونات ذاكرة التخزين المؤقت. وقد يؤدي ذلك إلى تنفيذ التعليمات البرمجية عن بُعد (RCE)، وهي القدرة على تنفيذ أوامر عشوائية على جهاز بعيد، في سياق مستخدم خادم الويب.

قم بالتحديث إلى الإصدار 7.1.2.

قم بإلغاء أذونات campaign:imports:create من المستخدمين غير الإداريين.