John Linhart

Um problema de upload de arquivo irrestrito existe no recurso de importação de campanha. Ao processar um arquivo de campanha, a aplicação copia arquivos de ativos integrados para um diretório de mídia publicamente acessível sem restringir nomes ou tipos de arquivos. Um usuário autenticado com permissão para criar importações de campanha pode explorar isso através da interface do usuário ou do endpoint '/api/campaigns/import' para colocar arquivos arbitrários, como scripts do lado do servidor, na raiz da web. Privilégios de administrador não são necessários. Em servidores web que respeitam a configuração por diretório, como a configuração padrão do Apache na imagem Docker oficial do Mautic, isso pode levar à execução remota de código com os privilégios do usuário do servidor web, concedendo acesso a segredos da aplicação, configuração e dados de contato.

Um redirecionamento aberto ocorre no endpoint '/form/submit'. A aplicação redireciona os visitantes para um endereço de retorno fornecido durante o envio sem verificar se o destino é a instância do Mautic ou um host confiável. Um invasor não autenticado pode usar isso para redirecionar usuários de um domínio legítimo para sites externos, como páginas de phishing ou sites de distribuição de malware. Isso requer que a vítima envie um formulário preparado pelo invasor.

Um problema de controle de acesso quebrado existe no endpoint da API de Estatísticas do Mautic '/api/stats/{table}'. O sistema não aplicou as permissões para diversas tabelas internas, pois as restrições destinadas apenas a administradores não foram implementadas e tabelas sem mapeamento explícito de permissões permaneceram legíveis por padrão. Consequentemente, qualquer usuário autenticado da API, independentemente de sua função ou permissões, pode acessar dados sensíveis. Isso inclui o log de auditoria da aplicação contendo ações de usuários e detalhes de alterações que podem expor dados pessoais de contatos, endereços IP de visitantes, detalhes de geolocalização e URLs de redirecionamento rastreadas com mapeamentos de canais.

Um problema de path traversal existe na API de Ativos do Mautic. Um usuário da API autenticado com permissões para criar ativos pode especificar um caminho de arquivo que não é restrito ao diretório de upload de ativos. Isso permite o registro de qualquer arquivo legível pelo processo do servidor web como um ativo do Mautic. Uma vez publicado, a URL de download público fornece o conteúdo do arquivo sem autenticação, permitindo a recuperação de arquivos arbitrários do servidor, como arquivos do sistema e arquivos de configuração contendo chaves secretas, senhas de banco de dados e credenciais SMTP.

Um problema de Cross-Site Scripting (XSS) armazenado existe na visualização de detalhes do contato. Campos personalizados de contato do tipo HTML são renderizados sem a sanitização da saída, permitindo que um usuário ou integração armazene um payload de script por meio da edição de contatos, da API de contatos ou de envios de formulários mapeados para o campo. Quando um administrador ou outro usuário visualiza a página de detalhes do contato afetado, o script é executado em sua sessão de navegador. Isso pode levar a ações administrativas não autorizadas, incluindo a criação de novas contas de administrador, modificação de configurações do sistema ou acesso não autorizado a dados de campanhas e contatos.

Um problema de SQL Injection existe no endpoint da API de dados do widget do painel '/api/data/{type}'. Isso ocorre porque os parâmetros de filtro de gráfico fornecidos pelo cliente não são devidamente validados antes de serem usados em consultas ao banco de dados que geram dados de gráficos do painel. Um usuário autenticado com acesso à API pode usar blind SQL injection—uma técnica usada para recuperar dados de um banco de dados fazendo perguntas de verdadeiro/falso—para ler informações arbitrárias do banco de dados, incluindo detalhes de contato, dados de marketing e hashes de senha de contas de usuário. Além disso, o SQL injetado pode ser usado para desacelerar as consultas, impactando potencialmente a disponibilidade. A modificação de dados não é possível, e a exploração requer que a API do Mautic esteja habilitada.

Um problema de SQL injection existe na interface de administração do Mautic no endpoint '/s/ajax'. O problema ocorre porque um parâmetro de requisição usado para selecionar o campo de contato para pesquisa não é devidamente validado antes de ser incluído em uma consulta ao banco de dados. Qualquer usuário autenticado, independentemente de sua função ou permissões atribuídas, pode explorar isso usando técnicas cegas—como métodos baseados em booleano ou tempo—para executar consultas SQL arbitrárias. Isso permite que o invasor leia informações sensíveis do banco de dados, incluindo contas de usuário, endereços de e-mail, hashes de senha, dados de contato e conteúdo de campanhas.

Um problema de desserialização insegura, especificamente a injeção de objetos PHP, ocorre durante o processamento de filtros de segmento e propriedades de campos personalizados. Certos caminhos de código desserializam valores armazenados no banco de dados sem restringir as classes PHP que podem ser instanciadas, ignorando o auxiliar de desserialização segura do Mautic. Um invasor com altos privilégios ou a capacidade de gravar nos dados armazenados afetados pode injetar valores serializados manipulados. Quando o Mautic processa esses dados durante a avaliação de segmentos, exportação de contatos ou solicitações de API de campos personalizados, objetos PHP arbitrários são instanciados. Utilizando gadget chains—sequências de fragmentos de código existentes que podem ser aproveitadas para fins não pretendidos—nas dependências, isso pode levar à execução de código arbitrário no servidor, acesso não autorizado, modificação ou exclusão de dados de contatos e interrupção do serviço.

Uma injeção de template no lado do servidor ocorre na sandbox de renderização de temas Twig. A sandbox, projetada para restringir templates de temas carregados por usuários, não impõe totalmente as restrições, permitindo que um template manipulado escape. Um usuário autenticado com a permissão `core:themes:create` pode carregar um tema malicioso que, ao ser renderizado, permite a execução de código arbitrário com os privilégios do processo do servidor web. Isso permite a execução de comandos do sistema operacional, a leitura de arquivos do servidor, como arquivos de configuração e credenciais de banco de dados, a gravação de arquivos e o acesso a serviços internos.

Um problema de Cross-Site Scripting (XSS) armazenado existe no componente de seleção de projetos. A aplicação falha ao sanitizar nomes de projetos retornados via AJAX antes de injetá-los no Document Object Model (DOM) como campos de opção. Um usuário autenticado com permissões de criação de projetos pode armazenar um payload de script malicioso no nome de um projeto. Quando um usuário administrativo abre um editor de entidade contendo o seletor de projetos, o script é executado em sua sessão de navegador, podendo levar ao sequestro de sessão, coordenação de estado não autorizada ou acesso não autorizado a dados organizacionais.

Um Server-Side Request Forgery (SSRF) existe no componente Focus. Devido à validação insuficiente de URLs fornecidas pelo usuário, um usuário autenticado pode disparar requisições HTTP externas a partir do servidor de hospedagem. Isso permite o reconhecimento de redes internas ou o envio de requisições para destinos internos ou externos arbitrários. SSRF é uma falha onde um invasor pode abusar da funcionalidade do servidor para ler ou atualizar recursos internos.

Um problema de Injeção de Template do Lado do Servidor (SSTI) existe no motor de temas. A plataforma renderiza templates Twig carregados sem um sandbox ou restrições estritas de funções. Usuários autenticados com permissões para criar ou carregar temas podem explorar isso para executar código arbitrário no servidor de hospedagem (Execução Remota de Código) ou acessar arquivos de sistema e configurações restritas.

Uma falha de path traversal existe no recurso de importação de campanhas. Durante a extração de arquivos ZIP carregados, um erro de validação permite que os caminhos de arquivos saiam dos diretórios temporários designados. Um usuário autenticado com privilégios `campaign:imports:create` pode gravar arquivos PHP arbitrários em diretórios sensíveis do sistema, potencialmente sobrescrevendo componentes de cache ou configurações internas. Isso pode resultar em Remote Code Execution (RCE), que é a capacidade de executar comandos arbitrários em uma máquina remota, sob o contexto do usuário do servidor web.

Existe uma falha de bypass de autorização nos endpoints da API v2 (utilizando API Platform). Funções configuradas com restrições de escopo de proprietário, como `viewown` ou `editown`, não são aplicadas corretamente. Isso permite que usuários autenticados da API com baixos privilégios ignorem os controles de lógica de propriedade para acessar ou modificar recursos de outros usuários, incluindo relatórios, contatos e empresas, ignorando as fronteiras estruturais de locatário e privilégios.

Um problema de Cross-Site Scripting (XSS) armazenado existe no componente de Projetos. Quando as visualizações de detalhes administrativos de campanhas, e-mails ou formulários exibem tags e popovers de projetos, os nomes dos projetos fornecidos pelo usuário são renderizados sem a sanitização adequada. Um usuário autenticado com permissões para criar ou editar projetos pode injetar payloads de scripts maliciosos. Quando um administrador passa o mouse sobre uma tag associada a um projeto comprometido, o script é executado em sua sessão do navegador, permitindo potencialmente que o invasor realize ações administrativas, altere configurações do sistema ou exfiltre dados sensíveis.

O problema diz respeito ao acesso não autorizado a pré-visualizações de páginas não publicadas no Mautic, que poderiam ser acessadas por usuários não autenticados e potencialmente indexadas por mecanismos de busca. Isso poderia levar à divulgação não intencional de conteúdo de rascunho ou informações sensíveis. A funcionalidade de pré-visualização de páginas para conteúdo não publicado, acessível via URLs previsíveis (por exemplo, "/page/preview/1", "/page/preview/2"), carecia de verificações de autorização adequadas, permitindo que qualquer usuário não autenticado visualizasse conteúdo ainda não destinado à publicação pública.

O problema refere-se a uma falha de autorização na implementação de Autenticação Básica HTTP do Mautic, permitindo acesso não autorizado a dados sensíveis de relatórios. Especificamente, existe uma falha de autorização inadequada na implementação de Autorização de API do Mautic, o que permite que qualquer usuário autenticado acesse todos os relatórios e seus dados associados via API, contornando os controles de acesso previstos.

Existe um problema de posicionamento de arquivos que permite o upload de ativos para diretórios do servidor não pretendidos. Isso se deve à limitação inadequada de um caminho de arquivo a um diretório restrito, especificamente na funcionalidade de upload de ativos. Isso permite que os usuários enviem arquivos para fora do diretório temporário pretendido.

Existia uma vulnerabilidade de XSS armazenado no rastreamento de contatos e no relatório de acessos à página, permitindo a potencial execução de scripts maliciosos.

A lógica de atualização na função de atualização de aplicativos do Mautic, realizada por meio de um script de atualização, não está devidamente protegida, o que pode levar a uma situação de vulnerabilidade. No entanto, esse problema é mitigado pelo fato de que o Mautic precisa ser instalado de uma maneira específica para ficar vulnerável.