Patryk Gruszka

Um problema de upload de arquivo irrestrito existe no recurso de importação de campanha. Ao processar um arquivo de campanha, a aplicação copia arquivos de ativos integrados para um diretório de mídia publicamente acessível sem restringir nomes ou tipos de arquivos. Um usuário autenticado com permissão para criar importações de campanha pode explorar isso através da interface do usuário ou do endpoint '/api/campaigns/import' para colocar arquivos arbitrários, como scripts do lado do servidor, na raiz da web. Privilégios de administrador não são necessários. Em servidores web que respeitam a configuração por diretório, como a configuração padrão do Apache na imagem Docker oficial do Mautic, isso pode levar à execução remota de código com os privilégios do usuário do servidor web, concedendo acesso a segredos da aplicação, configuração e dados de contato.

Um redirecionamento aberto ocorre no endpoint '/form/submit'. A aplicação redireciona os visitantes para um endereço de retorno fornecido durante o envio sem verificar se o destino é a instância do Mautic ou um host confiável. Um invasor não autenticado pode usar isso para redirecionar usuários de um domínio legítimo para sites externos, como páginas de phishing ou sites de distribuição de malware. Isso requer que a vítima envie um formulário preparado pelo invasor.

Um problema de controle de acesso quebrado existe no endpoint da API de Estatísticas do Mautic '/api/stats/{table}'. O sistema não aplicou as permissões para diversas tabelas internas, pois as restrições destinadas apenas a administradores não foram implementadas e tabelas sem mapeamento explícito de permissões permaneceram legíveis por padrão. Consequentemente, qualquer usuário autenticado da API, independentemente de sua função ou permissões, pode acessar dados sensíveis. Isso inclui o log de auditoria da aplicação contendo ações de usuários e detalhes de alterações que podem expor dados pessoais de contatos, endereços IP de visitantes, detalhes de geolocalização e URLs de redirecionamento rastreadas com mapeamentos de canais.

Um problema de path traversal existe na API de Ativos do Mautic. Um usuário da API autenticado com permissões para criar ativos pode especificar um caminho de arquivo que não é restrito ao diretório de upload de ativos. Isso permite o registro de qualquer arquivo legível pelo processo do servidor web como um ativo do Mautic. Uma vez publicado, a URL de download público fornece o conteúdo do arquivo sem autenticação, permitindo a recuperação de arquivos arbitrários do servidor, como arquivos do sistema e arquivos de configuração contendo chaves secretas, senhas de banco de dados e credenciais SMTP.

Um problema de Cross-Site Scripting (XSS) armazenado existe na visualização de detalhes do contato. Campos personalizados de contato do tipo HTML são renderizados sem a sanitização da saída, permitindo que um usuário ou integração armazene um payload de script por meio da edição de contatos, da API de contatos ou de envios de formulários mapeados para o campo. Quando um administrador ou outro usuário visualiza a página de detalhes do contato afetado, o script é executado em sua sessão de navegador. Isso pode levar a ações administrativas não autorizadas, incluindo a criação de novas contas de administrador, modificação de configurações do sistema ou acesso não autorizado a dados de campanhas e contatos.

Um problema de SQL Injection existe no endpoint da API de dados do widget do painel '/api/data/{type}'. Isso ocorre porque os parâmetros de filtro de gráfico fornecidos pelo cliente não são devidamente validados antes de serem usados em consultas ao banco de dados que geram dados de gráficos do painel. Um usuário autenticado com acesso à API pode usar blind SQL injection—uma técnica usada para recuperar dados de um banco de dados fazendo perguntas de verdadeiro/falso—para ler informações arbitrárias do banco de dados, incluindo detalhes de contato, dados de marketing e hashes de senha de contas de usuário. Além disso, o SQL injetado pode ser usado para desacelerar as consultas, impactando potencialmente a disponibilidade. A modificação de dados não é possível, e a exploração requer que a API do Mautic esteja habilitada.

Um problema de SQL injection existe na interface de administração do Mautic no endpoint '/s/ajax'. O problema ocorre porque um parâmetro de requisição usado para selecionar o campo de contato para pesquisa não é devidamente validado antes de ser incluído em uma consulta ao banco de dados. Qualquer usuário autenticado, independentemente de sua função ou permissões atribuídas, pode explorar isso usando técnicas cegas—como métodos baseados em booleano ou tempo—para executar consultas SQL arbitrárias. Isso permite que o invasor leia informações sensíveis do banco de dados, incluindo contas de usuário, endereços de e-mail, hashes de senha, dados de contato e conteúdo de campanhas.

Um problema de desserialização insegura, especificamente a injeção de objetos PHP, ocorre durante o processamento de filtros de segmento e propriedades de campos personalizados. Certos caminhos de código desserializam valores armazenados no banco de dados sem restringir as classes PHP que podem ser instanciadas, ignorando o auxiliar de desserialização segura do Mautic. Um invasor com altos privilégios ou a capacidade de gravar nos dados armazenados afetados pode injetar valores serializados manipulados. Quando o Mautic processa esses dados durante a avaliação de segmentos, exportação de contatos ou solicitações de API de campos personalizados, objetos PHP arbitrários são instanciados. Utilizando gadget chains—sequências de fragmentos de código existentes que podem ser aproveitadas para fins não pretendidos—nas dependências, isso pode levar à execução de código arbitrário no servidor, acesso não autorizado, modificação ou exclusão de dados de contatos e interrupção do serviço.

Uma injeção de template no lado do servidor ocorre na sandbox de renderização de temas Twig. A sandbox, projetada para restringir templates de temas carregados por usuários, não impõe totalmente as restrições, permitindo que um template manipulado escape. Um usuário autenticado com a permissão `core:themes:create` pode carregar um tema malicioso que, ao ser renderizado, permite a execução de código arbitrário com os privilégios do processo do servidor web. Isso permite a execução de comandos do sistema operacional, a leitura de arquivos do servidor, como arquivos de configuração e credenciais de banco de dados, a gravação de arquivos e o acesso a serviços internos.

Um problema de Cross-Site Scripting (XSS) armazenado existe no componente de seleção de projetos. A aplicação falha ao sanitizar nomes de projetos retornados via AJAX antes de injetá-los no Document Object Model (DOM) como campos de opção. Um usuário autenticado com permissões de criação de projetos pode armazenar um payload de script malicioso no nome de um projeto. Quando um usuário administrativo abre um editor de entidade contendo o seletor de projetos, o script é executado em sua sessão de navegador, podendo levar ao sequestro de sessão, coordenação de estado não autorizada ou acesso não autorizado a dados organizacionais.

Uma injeção de SQL ocorre no mecanismo de filtragem de contatos da API. Este problema surge devido à sanitização recursiva insuficiente de parâmetros de consulta aninhados, permitindo que um usuário de API autenticado ignore a filtragem de entrada e execute comandos SQL arbitrários.

Um Server-Side Request Forgery (SSRF) existe no componente Focus. Devido à validação insuficiente de URLs fornecidas pelo usuário, um usuário autenticado pode disparar requisições HTTP externas a partir do servidor de hospedagem. Isso permite o reconhecimento de redes internas ou o envio de requisições para destinos internos ou externos arbitrários. SSRF é uma falha onde um invasor pode abusar da funcionalidade do servidor para ler ou atualizar recursos internos.

Um problema de Injeção de Template do Lado do Servidor (SSTI) existe no motor de temas. A plataforma renderiza templates Twig carregados sem um sandbox ou restrições estritas de funções. Usuários autenticados com permissões para criar ou carregar temas podem explorar isso para executar código arbitrário no servidor de hospedagem (Execução Remota de Código) ou acessar arquivos de sistema e configurações restritas.

Uma falha de path traversal existe no recurso de importação de campanhas. Durante a extração de arquivos ZIP carregados, um erro de validação permite que os caminhos de arquivos saiam dos diretórios temporários designados. Um usuário autenticado com privilégios `campaign:imports:create` pode gravar arquivos PHP arbitrários em diretórios sensíveis do sistema, potencialmente sobrescrevendo componentes de cache ou configurações internas. Isso pode resultar em Remote Code Execution (RCE), que é a capacidade de executar comandos arbitrários em uma máquina remota, sob o contexto do usuário do servidor web.

Existe uma falha de bypass de autorização nos endpoints da API v2 (utilizando API Platform). Funções configuradas com restrições de escopo de proprietário, como `viewown` ou `editown`, não são aplicadas corretamente. Isso permite que usuários autenticados da API com baixos privilégios ignorem os controles de lógica de propriedade para acessar ou modificar recursos de outros usuários, incluindo relatórios, contatos e empresas, ignorando as fronteiras estruturais de locatário e privilégios.

Um problema de Cross-Site Scripting (XSS) armazenado existe no componente de Projetos. Quando as visualizações de detalhes administrativos de campanhas, e-mails ou formulários exibem tags e popovers de projetos, os nomes dos projetos fornecidos pelo usuário são renderizados sem a sanitização adequada. Um usuário autenticado com permissões para criar ou editar projetos pode injetar payloads de scripts maliciosos. Quando um administrador passa o mouse sobre uma tag associada a um projeto comprometido, o script é executado em sua sessão do navegador, permitindo potencialmente que o invasor realize ações administrativas, altere configurações do sistema ou exfiltre dados sensíveis.

Um usuário com privilégios limitados pode contornar restrições relacionadas ao Composer e instalar ou remover pacotes. Isso pode ocorrer mesmo se as configurações de atualização da plataforma estiverem com as atualizações baseadas em Composer desativadas. Isso permite que um usuário com baixos privilégios potencialmente instale código malicioso e escale seus privilégios no sistema.

O GrapesJS Builder permite o upload de arquivos arbitrários devido à falta de restrições de tipo de arquivo. Se a pasta de mídia não estiver configurada para impedir a execução de arquivos, isso pode resultar em execução remota de código.

O problema está relacionado à funcionalidade de clonagem de segmentos no Mautic, permitindo que qualquer usuário autenticado clone segmentos sem as devidas verificações de autorização devido a uma vulnerabilidade de ausência de autorização na cloneAction do gerenciamento de segmentos. Isso permite que um usuário autenticado contorne as restrições de permissão previstas e clone segmentos mesmo que não possua as permissões necessárias para criar novos.

O problema está relacionado a uma vulnerabilidade de Redirecionamento Aberto no endpoint de desbloqueio de usuário do Mautic. Esta vulnerabilidade pode ser explorada por um atacante para redirecionar usuários legítimos para sites maliciosos, potencialmente resultando em ataques de phishing ou na entrega de kits de exploit. A vulnerabilidade reside no endpoint "/s/action/unlock/user.user/0", onde o parâmetro `returnUrl` não é validado adequadamente, permitindo que um atacante construa uma URL que redireciona os usuários para um site externo arbitrário.