- Yama var
- Son 7 gün
- CWE-79
CVE-2026-115193
Mautic'te kişi detay görünümünde depolanmış siteler arası betik çalıştırma (XSS) açığı
- Yayımlandı
- Güncellendi
- 26 Eki 2026
- Açık yaşı
- 2 gün
- Kaydı açan
- Mautic
ÖzetTürkçe
Mautic 7'nin kişi detay görünümünde depolanmış siteler arası betik çalıştırma (XSS) açığı bulunmaktadır. HTML türündeki özel kişi alanlarının değerleri, çıktı temizleme (output sanitization) uygulanmadan görüntülenmektedir. Bu tür bir alana değer yazabilen bir kullanıcı veya entegrasyon (örneğin kişi düzenleme, kişi API'si veya alana eşlenmiş bir form gönderimi aracılığıyla), alana bir betik yükü kaydedebilir. Yönetici dahil başka bir kullanıcı etkilenen kişinin detay sayfasını açtığında, enjekte edilen betik o kullanıcının etkin tarayıcı oturumu bağlamında çalışır. Bu durum, saldırganın kurban adına yönetici eylemleri gerçekleştirmesine, örneğin yeni yönetici hesapları oluşturmasına, sistem yapılandırmasını değiştirmesine veya kişi ve kampanya verilerine erişmesine olanak tanıyabilir.
Kaynaktaki açıklama (İngilizce)
A stored Cross-Site Scripting (XSS) vulnerability exists in the contact detail view of Mautic 7. Values of HTML-type custom contact fields are rendered without output sanitization. A user or integration able to write a value to such a field (for example, through contact editing, the contact API, or a form submission mapped to the field) can store a script payload in it. When another user, including an administrator, opens the affected contact's detail page, the injected script executes within the context of their active browser session. This could allow an attacker to perform administrative actions on behalf of the victim, such as creating new administrator accounts, altering system configuration, or accessing contact and campaign data.
Üreticinin geçici önlemi (İngilizce)
There are no official workarounds. To mitigate this vulnerability without upgrading, restrict contact create and edit permissions and API access to trusted users, and avoid mapping public form fields or publicly updatable settings to HTML-type contact fields.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| mautic/core | ≥ 7.0.0, < 7.2.2 | 7.2.2 |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.