O Mautic publicou nove avisos de segurança em 26 de outubro de 2026. A falha crítica está na importação de campanhas da linha 7 e pode permitir a execução de código no servidor. Para conferir sua instalação, compare a versão instalada com as faixas de cada ficha e revise as permissões dos recursos afetados.
Aplicativo
Mautic
Data do compilado
Vulnerabilidades
9
A situação “corrigida” indica que o projeto disponibilizou a correção. Você ainda precisa confirmar a atualização da sua instância. As restrições de acesso descritas nas fichas são medidas temporárias e não substituem as versões corrigidas.
Gravidade críticaCVSS: 9,9/10Correção disponível
Importação de campanhas permite gravar arquivos que podem executar código
A importação de campanhas do Mautic 7 copia os arquivos incluídos no pacote para uma pasta pública de mídia sem restringir adequadamente seus nomes ou tipos. Uma conta com permissão para criar importações pode enviar scripts pela interface ou por /api/campaigns/import, mesmo sem ser administradora. Em servidores que aceitam configurações por diretório, como o Apache padrão da imagem Docker oficial, isso pode resultar na execução de código com as permissões do processo web.
Casos de uso afetados
Você permite que contas de marketing importem campanhas no Mautic 7. Um pacote malicioso enviado por uma dessas contas pode gravar arquivos executáveis na pasta pública de mídia.
Sua instalação não executa scripts na pasta de mídia. Nesse caso, a falha ainda permite gravar arquivos arbitrários acessíveis pela web, embora a execução de código dependa da configuração do servidor.
Confira na sua instância
Confira se você usa uma versão da linha 7 anterior à 7.2.2 e identifique quais contas podem criar importações de campanhas. Revise os arquivos adicionados a media/ por importações recentes. No servidor web ou no virtual host, confira se a execução de scripts nessa pasta está desativada e se arquivos locais podem sobrescrever essa configuração. Restrinja a importação às contas que precisam dela enquanto aplica a atualização.
Versões afetadas e correções
Faixas declaradas no comunicado oficial, por linha de manutenção
Linha
Afetadas
Corrigidas
mautic/core (7.x)
>= 7.0.0, < 7.2.2
7.2.2
As linhas 6.x, 5.x e 4.x não são afetadas por esta vulnerabilidade.
Gravidade altaCVSS: 8,8/10Correção disponível
Templates de temas escapam das restrições do Twig
As restrições aplicadas pelo Mautic aos templates Twig enviados em temas podem ser contornadas. Uma conta com a permissão core:themes:create consegue enviar um tema preparado para executar código quando seu template for renderizado. A execução ocorre com as permissões do processo web e pode alcançar arquivos de configuração, credenciais do banco e serviços internos. A falha decorre de uma correção incompleta do aviso GHSA-9fx4-7cmj-47vg.
Casos de uso afetados
Você delegou a criação de temas a contas que não administram o servidor. Essa permissão permite enviar o template necessário para explorar a falha.
Sua instalação mantém a criação de temas apenas para administradores. Uma conta administrativa comprometida ainda pode usar esse recurso para executar código no servidor.
Confira na sua instância
Abra as permissões dos papéis usados na sua instância e localize core:themes:create. Confira se ela foi concedida a contas de criação de campanhas ou de manutenção de páginas. Revise a origem dos temas enviados e compare a versão instalada com a tabela. Ter aplicado somente a correção anterior de GHSA-9fx4-7cmj-47vg não basta para considerar este aviso atendido.
Versões afetadas e correções
Faixas declaradas no comunicado oficial, por linha de manutenção
Linha
Afetadas
Corrigidas
mautic/core (correção 5.2.12)
>= 1.3.0, < 5.2.12
5.2.12
mautic/core (6.x)
>= 6.0.0, < 6.0.10
6.0.10
mautic/core (7.x)
>= 7.0.0, < 7.2.2
7.2.2
O aviso informa que a correção para o Mautic 4.4 é distribuída pelo suporte estendido ELTS, sem uma release pública correspondente.
Gravidade altaCVSS: 8,2/10Correção disponível
Campo HTML de contato executa scripts ao abrir o cadastro
A página de detalhes de contatos do Mautic 7 exibe valores de campos personalizados do tipo HTML sem sanitizar a saída. Um script pode ficar armazenado no campo após uma edição, uma chamada à API ou o envio de um formulário associado a ele. Ao abrir esse contato, outra conta executa o script no navegador com sua sessão ativa. Se a sessão for administrativa, o ataque pode realizar ações como criar administradores ou alterar a configuração do Mautic.
Casos de uso afetados
Você recebe inscrições por um formulário público associado a um campo de contato do tipo HTML. O conteúdo enviado pode chegar à página de detalhes que você abre no painel.
Uma integração tem acesso de escrita aos campos HTML dos contatos. Uma entrada maliciosa gravada por ela pode afetar a conta que consultar o cadastro posteriormente.
Confira na sua instância
Localize os campos personalizados de contato do tipo HTML e confira quais formulários e integrações escrevem neles. Revise também as permissões de criação e edição de contatos. Se sua instalação estiver na faixa afetada, retire as associações desses campos com entradas públicas enquanto atualiza para a 7.2.2. Não abra valores suspeitos em uma sessão administrativa para tentar confirmar o comportamento.
Versões afetadas e correções
Faixas declaradas no comunicado oficial, por linha de manutenção
Linha
Afetadas
Corrigidas
mautic/core (7.x)
>= 7.0.0, < 7.2.2
7.2.2
As linhas 6.x, 5.x e 4.x escapam esses valores na página de detalhes do contato e não são afetadas por esta falha.
Gravidade altaCVSS: 8,0/10Correção disponível
Filtros de segmentos e campos personalizados permitem injetar objetos PHP
Algumas rotinas do Mautic recuperam filtros de segmentos e propriedades de campos personalizados do banco e desserializam esses valores sem limitar as classes PHP que podem ser instanciadas. Quem consegue gravar um valor serializado malicioso nesses registros pode acionar métodos automáticos dos objetos durante o processamento. Com cadeias de métodos presentes nas dependências, isso pode permitir a execução de código, a alteração ou exclusão de contatos e a interrupção da instância. A exploração exige privilégios elevados ou acesso prévio de escrita aos registros afetados.
Casos de uso afetados
Você permite que outras contas administrem segmentos ou campos personalizados. A gravação de propriedades maliciosas pode produzir efeitos quando o Mautic avaliar o segmento ou exportar contatos.
Uma integração ou um acesso direto ao banco consegue alterar as propriedades armazenadas. O processamento posterior, inclusive por chamadas à API de campos personalizados, pode instanciar os objetos injetados.
Confira na sua instância
Compare sua versão com as faixas desta ficha, especialmente na linha 7, cuja correção começa na 7.2.0. Confira quais contas administram segmentos e campos personalizados e quais credenciais permitem escrever diretamente no banco. Revise alterações não reconhecidas nas propriedades desses recursos. Após a atualização, confira em homologação se a avaliação dos segmentos, a exportação de contatos e as consultas de campos personalizados continuam funcionando.
Versões afetadas e correções
Faixas declaradas no comunicado oficial, por linha de manutenção
Linha
Afetadas
Corrigidas
mautic/core (correção 5.2.12)
>= 2.15.2, < 5.2.12
5.2.12
mautic/core (6.x)
>= 6.0.0, < 6.0.10
6.0.10
mautic/core (7.x)
>= 7.0.0, < 7.2.0
7.2.0
Gravidade altaCVSS: 7,1/10Correção disponível
Busca de contatos aceita injeção SQL por uma conta autenticada
A busca de contatos em /s/ajax usa o campo de pesquisa recebido na requisição sem validá-lo adequadamente para a consulta ao banco. Qualquer conta autenticada pode explorar essa falha, independentemente das permissões atribuídas ao seu papel. A injeção SQL permite extrair informações por diferenças nas respostas ou no tempo de execução, alcançando registros acessíveis à conta de banco usada pelo Mautic, como hashes de senhas, cadastros de contatos e conteúdo de campanhas.
Casos de uso afetados
Você mantém contas com poucas permissões para tarefas no painel. Essas limitações não impedem que uma conta autenticada explore o endpoint vulnerável.
A edição de identificadores únicos no formulário de contato usa a ação lead:getLeadIdsByFieldValue para avisar sobre duplicidade. Essa consulta é o recurso afetado pelo aviso.
Confira na sua instância
Confira a versão instalada e revise as contas ativas, incluindo as que não possuem permissões sobre contatos. Nos registros de requisições, procure chamadas a /s/ajax com a ação lead:getLeadIdsByFieldValue que mereçam investigação. Se você adotar a mitigação indicada no aviso, configure o servidor web ou o firewall de aplicação para recusar essa ação específica e confira o efeito no formulário de contatos.
Versões afetadas e correções
Faixas declaradas no comunicado oficial, por linha de manutenção
Linha
Afetadas
Corrigidas
mautic/core (correção 5.2.12)
>= 2.1.0, < 5.2.12
5.2.12
mautic/core (6.x)
>= 6.0.0, < 6.0.10
6.0.10
mautic/core (7.x)
>= 7.0.0, < 7.2.2
7.2.2
Recusar essa ação desativa o aviso de contato duplicado exibido durante a edição de campos identificadores únicos. A medida não equivale à instalação da correção.
Gravidade altaCVSS: 7,1/10Correção disponível
Filtros dos gráficos do painel permitem consultar informações do banco
O endpoint /api/data/{type}, usado pelos gráficos do painel, incorpora filtros enviados pelo cliente às consultas sem a validação necessária. Com a API habilitada, uma conta autenticada com acesso a ela pode injetar SQL e extrair informações de contatos e hashes de senhas por consultas indiretas. Também é possível tornar as consultas mais lentas, com efeito limitado sobre a disponibilidade. O comunicado delimita que esta falha não permite modificar os registros do banco.
Casos de uso afetados
Você mantém a API habilitada para integrações. Uma credencial com acesso a ela pode alcançar o endpoint dos gráficos e manipular seus filtros.
Seu painel consulta informações de marketing pelo endpoint afetado. Filtros maliciosos podem ser usados para ler informações além das apresentadas normalmente nos gráficos ou prolongar as consultas.
Confira na sua instância
Confirme se a API está habilitada e identifique as contas autorizadas a usá-la. Revise as chamadas a /api/data/{type} e, se houver registros disponíveis, relacione requisições incomuns com consultas lentas no banco. Desative a API caso você não a utilize ou restrinja seu acesso enquanto atualiza. Depois da correção, confira se os gráficos continuam carregando com os filtros legítimos usados no seu painel.
Versões afetadas e correções
Faixas declaradas no comunicado oficial, por linha de manutenção
Linha
Afetadas
Corrigidas
mautic/core (correção 5.2.12)
>= 2.8.1, < 5.2.12
5.2.12
mautic/core (6.x)
>= 6.0.0, < 6.0.10
6.0.10
mautic/core (7.x)
>= 7.0.0, < 7.2.2
7.2.2
Gravidade moderadaCVSS: 6,5/10Correção disponível
API de estatísticas expõe tabelas sem exigir as permissões necessárias
O endpoint /api/stats/{table} deixa de aplicar a restrição administrativa prevista para algumas tabelas internas. Tabelas sem um mapeamento explícito de permissão também ficam disponíveis para leitura por padrão. Com isso, até uma conta autenticada cujo papel não concede permissões pode consultar registros de auditoria, endereços IP e geolocalização de visitantes, além dos endereços de redirecionamento rastreados e suas associações com canais. O histórico de auditoria pode conter informações pessoais de contatos nas alterações registradas.
Casos de uso afetados
Você criou uma conta de integração com um papel sem permissões, esperando limitar o que ela pode consultar. A autenticação dessa conta ainda pode permitir a leitura das tabelas afetadas.
Sua instância registra alterações em contatos e acompanha visitantes. Parte dessas informações pode ser consultada pela API de estatísticas sem a autorização administrativa esperada.
Confira na sua instância
Revise as contas que conseguem autenticar na API, inclusive aquelas sem permissões atribuídas. Em homologação, use uma conta de teste restrita para conferir se consultas às tabelas internas citadas no aviso são recusadas após a atualização. Examine também os registros de acesso a /api/stats/ para identificar consultas que não correspondam às integrações conhecidas.
Versões afetadas e correções
Faixas declaradas no comunicado oficial, por linha de manutenção
Linha
Afetadas
Corrigidas
mautic/core (correção 5.2.12)
>= 2.3.0, < 5.2.12
5.2.12
mautic/core (6.x)
>= 6.0.0, < 6.0.10
6.0.10
mautic/core (7.x)
>= 7.0.0, < 7.2.2
7.2.2
Gravidade moderadaCVSS: 6,5/10Correção disponível
API de ativos pode publicar arquivos privados do servidor
Ao cadastrar um ativo local pela API, o Mautic aceita caminhos fora da pasta destinada aos uploads. Uma conta autenticada com permissão para criar ativos pode apontar para qualquer arquivo legível pelo processo web. Se publicar esse ativo, seu endereço de download passa a servir o arquivo sem exigir autenticação. Isso pode expor configurações com a senha do banco, a chave secreta da aplicação e as credenciais de envio de email.
Casos de uso afetados
Você usa uma integração para cadastrar materiais para download como ativos locais. A credencial dessa integração pode registrar arquivos do servidor que não deveriam fazer parte desses materiais.
Um ativo foi publicado com um caminho externo à pasta de uploads. Qualquer pessoa que obtenha seu endereço público pode baixar o conteúdo, mesmo sem uma conta no Mautic.
Confira na sua instância
Confira quais credenciais da API podem criar ativos e examine os caminhos dos ativos locais já cadastrados. Investigue referências que apontem para fora da pasta de uploads, especialmente arquivos de configuração. Para conferir a correção em homologação, use um arquivo inofensivo de teste fora dessa pasta e verifique se o cadastro é recusado. Não use arquivos com credenciais para fazer essa conferência.
Versões afetadas e correções
Faixas declaradas no comunicado oficial, por linha de manutenção
Linha
Afetadas
Corrigidas
mautic/core (correção 5.2.12)
>= 2.3.0, < 5.2.12
5.2.12
mautic/core (6.x)
>= 6.0.0, < 6.0.10
6.0.10
mautic/core (7.x)
>= 7.0.0, < 7.2.2
7.2.2
A criação do ativo exige autenticação e permissão. O download do arquivo publicado fica acessível sem autenticação.
Gravidade moderadaCVSS: 5,4/10Correção disponível
Envio de formulário pode levar visitantes a um site malicioso
O endpoint público /form/submit aceita um endereço de retorno enviado com o formulário sem conferir se o destino pertence à instância ou a outro site confiável. Um atacante sem conta no Mautic pode preparar um formulário que conduza o visitante a um domínio externo após o envio. O endereço legítimo do Mautic participa desse percurso e pode dar credibilidade a uma página falsa de captura de credenciais ou a um site que distribua malware. A exploração depende de a vítima enviar o formulário preparado pelo atacante.
Casos de uso afetados
Você mantém formulários publicados para inscrições ou captação de contatos. O endpoint público desses formulários pode ser usado para redirecionar visitantes a um endereço escolhido pelo atacante.
Uma campanha leva o visitante a uma página que imita seu formulário. Após o envio, o redirecionamento passa pelo domínio do Mautic e termina em um site externo malicioso.
Confira na sua instância
Identifique os formulários publicados e os domínios legítimos usados nas páginas de retorno. Em homologação, confira o destino recebido após uma submissão de teste com um endereço externo não autorizado, sem seguir o redirecionamento. Se você aplicar uma restrição temporária no proxy reverso ou no firewall de aplicação, confirme que as respostas de /form/submit só encaminham para sua instância e seus próprios sites, preservando os retornos legítimos.
Versões afetadas e correções
Faixas declaradas no comunicado oficial, por linha de manutenção
Programador há mais de 20 anos, fundador da Powertic e da Promovaweb. Embaixador do n8n no Brasil e da Baserow, Chatwoot, Miro e Kestra. Membro do Product Team do Mautic.
Canais oficiais
Nossos Links
Encontre a Promovaweb no canal que combina com o seu próximo passo.
