Injeção SQL na ordenação das atividades de contatos
A API do Mautic consulta o histórico de atividades de um contato e recebe uma indicação do sentido da ordenação. Como esse valor não era validado estritamente contra uma lista de opções permitidas, um atacante autenticado poderia inserir comandos SQL na consulta ao banco. A falha está na construção dessa consulta, acessível pela API de atividades de contatos.
Casos de uso afetados
- Você mantém uma integração que consulta o histórico de atividades dos contatos pela API do Mautic. Em uma instalação afetada, o acesso autenticado a esse recurso permite alcançar a consulta vulnerável, mesmo quando a finalidade da integração é apenas listar as atividades em ordem cronológica.
Confira na sua instância
Confira a versão do Mautic efetivamente instalada e compare-a com a correção indicada para sua linha. Para conferir a exposição, revise quais credenciais permitem consultar as atividades de contatos pela API. Depois da atualização, faça uma consulta autenticada normal ao histórico de um contato e confira a ordenação recebida. Essa consulta verifica o funcionamento da integração, mas a confirmação da correção exige conferir a versão instalada.
Versões afetadas e correções
| Linha | Afetadas | Corrigidas |
|---|---|---|
| mautic/core (Composer) | >= 2.10.0 | 4.4.19, 5.2.10, 6.0.8, 7.0.1 |
O aviso também identifica a falha como CVE-2026-3105 e não informa alternativa temporária à atualização. A faixa afetada foi publicada sem limite superior, por isso consulte as versões corrigidas da sua linha ao avaliar a instalação. A correção disponível no projeto não confirma que você já atualizou sua instância.
