- Yama var
- Son 7 gün
- CWE-94
- CWE-434
CVE-2026-115188
Mautic kampanya içe aktarmada kısıtlanmamış dosya yükleme açığı
- Yayımlandı
- Güncellendi
- 26 Eki 2026
- Açık yaşı
- 2 gün
- Kaydı açan
- Mautic
Yönetici özeti
Bu açık, kötü niyetli bir kişinin şirketinizin müşteri ve kişi verilerine ulaşmasına ve sistemde kontrolü ele geçirmesine olanak tanıyabilir. Etkilenen sürümü kullanan kuruluşların bu güncellemeyi gecikmeden uygulaması gerekir. Güncelleme yapılana kadar yetki verilen kullanıcı sayısını azaltmak riski önemli ölçüde düşürür.
ÖzetTürkçe
Mautic 7.0.0 ile 7.2.1 arasındaki sürümlerde kampanya içe aktarma özelliği, yüklenen kampanya arşivindeki dosyaları adlarını ve türlerini denetlemeden herkese açık medya dizinine kopyalar. Kampanya içe aktarma yetkisine sahip kimliği doğrulanmış bir kullanıcı, arayüz veya /api/campaigns/import uç noktası üzerinden web kök dizinine sunucu tarafı betikler dahil keyfi dosyalar yerleştirebilir. Yönetici yetkisi gerekmez. Varsayılan Apache yapılandırmasında olduğu gibi dizin bazlı ayarları kabul eden web sunucularında bu durum uzaktan kod çalıştırmaya yol açabilir.
Saldırgan ne yapabilir?
Saldırgan, web sunucusu kullanıcısının yetkileriyle uzaktan kod çalıştırabilir; Mautic yapılandırmasına, uygulama gizli anahtarlarına ve kişi verilerine erişebilir.
Kaynaktaki açıklama (İngilizce)
An unrestricted file upload vulnerability exists in the campaign import feature of Mautic 7. When processing an uploaded campaign archive, the application copies the bundled asset files into a publicly accessible media directory without restricting their file names or types. An authenticated user with permission to create campaign imports can exploit this through the user interface or the API (/api/campaigns/import) to place arbitrary files, including server-side scripts, in the web root. Administrator privileges are not required. On web servers that honor per-directory configuration, such as the default Apache setup of the official Mautic Docker image, this leads to remote code execution with the privileges of the web server user, including access to the Mautic configuration, application secrets, and contact data.
Üreticinin geçici önlemi (İngilizce)
There are no official workarounds. To mitigate this vulnerability without upgrading, remove the campaign import create permission from all users who do not strictly need it and restrict it to trusted administrators, and configure the web server at server or virtual-host level, so that it cannot be overridden by files in the application directory, to deny script execution in the media/ directory.
Ne yapmalı?
- Mautic'i 7.2.2 veya daha yeni bir sürüme yükseltin. Satıcının belirttiği çözüm budur. Üretici
- Yükseltme hemen yapılamıyorsa kampanya içe aktarma yetkisini gereksiz tüm kullanıcılardan kaldırın ve yalnızca güvenilir yöneticilerde bırakın. Üretici
- Web sunucusunu sunucu veya sanal sunucu düzeyinde yapılandırarak media/ dizininde betik çalıştırmayı engelleyin. Bu ayar, uygulama dizinindeki dosyalarla geçersiz kılınamayacak şekilde yapılmalıdır. Üretici
- media/ dizinini inceleyerek beklenmeyen, özellikle betik uzantılı dosyaların olup olmadığını kontrol edin. Şüpheli dosya bulursanız sistemi kapsamlı biçimde inceleyin. Genel öneri
Ek önlemler
- Kampanya içe aktarma işlemlerini ve /api/campaigns/import uç noktasına gelen istekleri günlük kayıtlarından düzenli olarak izleyin. Genel öneri
- Bu açık kötüye kullanılmışsa Mautic yapılandırma dosyasındaki ve uygulama gizli anahtarlarındaki bilgileri değiştirin. Genel öneri
- media/ dizini için dosya bütünlüğü izleme uygulayın ve yeni eklenen dosyalar için uyarı kuralı tanımlayın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| mautic/core | ≥ 7.0.0, < 7.2.2 | 7.2.2 |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.