A importação de campanhas e a renderização de temas têm falhas que podem executar código no servidor. Os sete avisos também abrangem as permissões da API, os nomes de projetos e as requisições do componente Focus. Você pode conferir os recursos usados na sua instalação e a correção correspondente a cada aviso.
AplicativoMautic
Data do compilado
Vulnerabilidades7
Os sete avisos foram publicados em 29/05/2026. As faixas afetadas e as versões corrigidas mantêm os valores da API, inclusive os intervalos sem limite superior. A indicação de correção informa sua disponibilidade no Mautic e exige conferência da versão instalada.
Gravidade críticaCVSS: 9,9/10Correção disponível
Gravação de arquivos fora da pasta de importação de campanhas
A extração de arquivos ZIP na importação de campanhas do Mautic 7 aceita caminhos que escapam da pasta temporária prevista. Um atacante autenticado com a permissão campaign:imports:create pode gravar arquivos PHP em outros diretórios e sobrescrever componentes de configuração ou cache. Isso pode executar código no servidor com os privilégios do usuário que executa o serviço web.
Casos de uso afetados
Você permite que usuários importem campanhas por arquivos ZIP. A permissão de importação dá acesso ao processamento vulnerável, com consequências para os arquivos da instalação que o serviço web pode modificar.
Confira na sua instância
Confira a versão do Mautic e os perfis com a permissão campaign:imports:create. Para revisar importações anteriores, compare as datas dos envios com alterações inesperadas em arquivos PHP de configuração e cache. Até instalar a 7.1.2, retire a permissão de importação dos usuários não administrativos, conforme a orientação do aviso.
Versões afetadas e correções
Faixas declaradas no comunicado oficial, por linha de manutenção
Linha
Afetadas
Corrigidas
mautic/core
>= 7.0
7.1.2
CVE-2026-9559. As linhas 6.x, 5.x e 4.x não são afetadas. Retirar a permissão de alguns perfis reduz o acesso ao importador, mas os perfis que a mantêm ainda alcançam o recurso vulnerável.
Gravidade críticaCVSS: 9,9/10Correção disponível
Execução de código por templates Twig de temas
O mecanismo de temas renderiza os templates Twig enviados ao Mautic sem sandbox nem restrições suficientes às funções disponíveis. Um atacante autenticado com permissão para criar ou enviar temas pode usar um template para executar comandos no servidor. A falha também permite acessar arquivos restritos e configurações da instalação.
Casos de uso afetados
Você concede a outros usuários a permissão core:themes:create para personalizar temas. O envio de templates dá acesso ao mecanismo de renderização afetado, por isso a conferência precisa abranger as permissões e os temas instalados.
Confira na sua instância
Revise os perfis com core:themes:create e confira a origem dos temas enviados. Examine os templates Twig como arquivos de texto, sem renderizar temas suspeitos para testá-los. Compare a versão instalada com a correção indicada para sua linha e, enquanto a atualização estiver pendente, reserve o envio e a criação de temas a administradores de alta confiança.
Versões afetadas e correções
Faixas declaradas no comunicado oficial, por linha de manutenção
Linha
Afetadas
Corrigidas
mautic/core
<= 1.3.0
7.1.2, 6.0.9, 5.2.11, 4.4.20
CVE-2026-9558. A API registra a faixa afetada como <= 1.3.0, mas o texto do comunicado lista correções nas linhas 7.x, 6.x, 5.x e 4.x. Essa divergência foi preservada, sem deduzir outra faixa afetada. A correção 4.4.20 é oferecida via ELTS, o suporte estendido de longo prazo.
Gravidade altaCVSS: 7,6/10Correção disponível
Scripts nas etiquetas e nos popovers de projetos
Os nomes de projetos do Mautic 7 são exibidos sem tratamento adequado nas etiquetas e nos popovers das páginas administrativas de detalhes. Um atacante com permissão para criar ou editar projetos pode inserir um script nesse nome. Ao passar o cursor sobre a etiqueta de um projeto associado, você pode executar o código na sua sessão, permitindo alterações administrativas ou extração de informações sensíveis.
Casos de uso afetados
Você consulta os detalhes de uma campanha, de um email ou de um formulário associado a um projeto editável por outro usuário. A exploração ocorre na exibição do popover ao passar o cursor sobre a etiqueta desse projeto.
Confira na sua instância
Identifique os projetos associados às campanhas, aos emails e aos formulários que você administra e confira seus nomes em uma representação textual. Evite exibir popovers de nomes suspeitos na versão vulnerável. Revise as permissões de criação e edição de projetos e restrinja-as a administradores de confiança até confirmar a instalação da 7.1.2.
Versões afetadas e correções
Faixas declaradas no comunicado oficial, por linha de manutenção
Linha
Afetadas
Corrigidas
mautic/core
>=7.0.0
7.1.2
CVE-2026-9809. Este aviso de XSS (cross-site scripting) trata das etiquetas e dos popovers, enquanto o GHSA-5hvg-w58j-545m trata do seletor. As linhas 6.x, 5.x e 4.x não possuem o recurso Projects e não são afetadas.
Gravidade altaCVSS: 7,1/10Correção disponível
Acesso a registros de outros usuários pela API v2
A API v2 do Mautic 7 nem sempre aplica as permissões viewown e editown, que deveriam limitar a leitura e a edição aos registros do próprio usuário. Uma credencial autenticada com privilégios menores pode acessar relatórios, contatos e empresas pertencentes a outros usuários, inclusive alterar registros fora do acesso autorizado.
Casos de uso afetados
Você usa integrações pela API v2 e limita as credenciais aos registros de seus respectivos usuários. A falha compromete essa separação mesmo quando o perfil não permite consultar ou editar todos os registros.
Confira na sua instância
Confira a versão instalada e identifique as credenciais da API v2 cujos perfis usam viewown ou editown. Revise as permissões desses perfis e os registros de chamadas disponíveis, procurando consultas ou alterações de registros pertencentes a outros usuários. Até aplicar a 7.1.2, revogue temporariamente as credenciais afetadas ou reduza seu acesso conforme o comunicado.
Versões afetadas e correções
Faixas declaradas no comunicado oficial, por linha de manutenção
Linha
Afetadas
Corrigidas
mautic/core
>= 7.0.0
7.1.2
CVE-2026-9808. As linhas 6.x, 5.x e 4.x não são afetadas por este aviso. As restrições temporárias de acesso não corrigem a autorização da API.
Gravidade altaCVSS: 7,1/10Correção disponível
Injeção de SQL nos filtros de contatos da API
Os filtros de contatos da API não tratam adequadamente todos os níveis de parâmetros aninhados. Um atacante autenticado com acesso à API pode inserir comandos SQL nesses filtros e executar consultas no banco, contornando as permissões de acesso aos registros. Isso pode expor credenciais armazenadas, configurações do sistema e informações pessoais dos contatos.
Casos de uso afetados
Você mantém integrações que consultam contatos pela API. Uma credencial válida permite alcançar os filtros afetados, inclusive quando seu perfil deveria limitar o acesso aos cadastros.
Confira na sua instância
Confira as credenciais autorizadas a consultar contatos e examine, nos registros de requisições disponíveis, os filtros enviados com estruturas aninhadas inesperadas. Confirme a instalação da versão corrigida de sua linha. Até atualizar, você pode desativar o acesso à API ou restringi-lo a usuários de alta confiança, como orienta o comunicado.
Versões afetadas e correções
Faixas declaradas no comunicado oficial, por linha de manutenção
Linha
Afetadas
Corrigidas
mautic/core
>= 2.6.0
7.1.2, 6.0.9, 5.2.11, 4.4.20
CVE-2026-4776. O comunicado não oferece workaround oficial. Restringir os usuários da API reduz a exposição, mas preserva o mecanismo vulnerável para credenciais que continuem autorizadas. A 4.4.20 está disponível via ELTS, o suporte estendido de longo prazo.
Gravidade moderadaCVSS: 6,4/10Correção disponível
Requisições do componente Focus a destinos indevidos
O componente Focus, do MauticFocusBundle, não valida suficientemente as URLs fornecidas por usuários autenticados. Sob as condições descritas no aviso, um atacante pode fazer o servidor do Mautic enviar requisições HTTP a destinos externos ou internos escolhidos por ele. Esse acesso permite sondar portas e identificar serviços internos alcançáveis pelo servidor.
Casos de uso afetados
Você disponibiliza o componente Focus no painel e o servidor do Mautic consegue alcançar serviços em redes internas. As requisições partem do servidor, portanto podem atingir destinos inacessíveis diretamente ao navegador do atacante.
Confira na sua instância
Revise o acesso ao Focus e confira os destinos das conexões de saída nos registros de rede do servidor, procurando requisições inesperadas a endereços locais ou sub-redes internas. Examine as restrições de saída aplicadas ao serviço web e confirme a versão corrigida de sua linha. Restrições de rede precisam abranger esses destinos para limitar a sondagem descrita.
Versões afetadas e correções
Faixas declaradas no comunicado oficial, por linha de manutenção
Linha
Afetadas
Corrigidas
mautic/core
>= 4.0.0
7.1.2, 6.0.9, 5.2.11, 4.4.20
CVE-2026-9557. A falha é uma SSRF (server-side request forgery). O aviso não oferece workaround oficial e sugere restrições de rede, cuja eficácia depende dos destinos que o servidor ainda pode alcançar. A correção 4.4.20 é oferecida via ELTS, o suporte estendido de longo prazo.
Gravidade moderadaCVSS: 5,4/10Correção disponível
Execução de scripts no seletor de projetos
O seletor usado para associar projetos a registros do Mautic 7 insere no navegador os nomes recebidos por AJAX sem o tratamento necessário. Um atacante autenticado com permissão para criar projetos pode gravar um script no nome. Ao abrir um editor com esse seletor, você pode executar o script na sua sessão administrativa, permitindo acesso indevido ao painel e ações com suas permissões.
Casos de uso afetados
Você abre um editor que contém o seletor de projetos e os projetos disponíveis incluem nomes cadastrados por outros usuários. O campo de seleção é a superfície afetada, mesmo sem você consultar os detalhes do projeto.
Confira na sua instância
Revise os perfis autorizados a criar ou alterar projetos. Examine os nomes cadastrados como texto, sem abri-los no seletor de uma instalação vulnerável, e procure marcação ou scripts inesperados. Confirme a atualização para a 7.1.2. Enquanto ela estiver pendente, limite a criação e a alteração de projetos a administradores de confiança.
Versões afetadas e correções
Faixas declaradas no comunicado oficial, por linha de manutenção
Linha
Afetadas
Corrigidas
mautic/core
>= 7.0.0
7.1.2
CVE-2026-9811. A falha de XSS (cross-site scripting) depende da abertura do editor com o seletor. As linhas 6.x, 5.x e 4.x não possuem esse recurso e não são afetadas.
Programador há mais de 20 anos, especialista em Mautic e automação de marketing. Fundador da Powertic e da Promovaweb. Embaixador global do n8n (Community Awards 2024/2025), Bas...
Canais oficiais
Nossos Links
Encontre a Promovaweb no canal que combina com o seu próximo passo.
