PT-2026-21791 · Mautic · Mautic

Escopecz + 2 · Publicado 2026-02-24 · Atualizado 2026-03-25 · CVE-2026-3105

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do Mautic anteriores à 4.4.19 Versões do Mautic anteriores à 5.2.10 Versões do Mautic anteriores à 6.0.8 Versões do Mautic anteriores à 7.0.1

Descrição Existe uma vulnerabilidade de injeção de SQL no endpoint da API utilizado para recuperar atividades de contatos. A vulnerabilidade deve-se à validação insuficiente do parâmetro que controla a direção de ordenação na construção da consulta para a linha do tempo de Atividades de Contato. Isso poderia permitir que usuários autenticados injetassem comandos SQL arbitrários via API. O parâmetro vulnerável não é explicitamente identificado.

Recomendações Atualize para a versão 4.4.19 ou posterior. Atualize para a versão 5.2.10 ou posterior. Atualize para a versão 6.0.8 ou posterior. Atualize para a versão 7.0.1 ou posterior.

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2026-3105

GHSA-R5J5-Q42H-FC93

Produtos afetados

Mautic

Referências · 14

• https://github.com/mautic/mautic/releases/tag/5.2.10 · Nota
• https://github.com/mautic/mautic/releases/tag/6.0.8 · Nota
• https://github.com/mautic/mautic/releases/tag/7.0.1 · Nota
• https://github.com/mautic/mautic · Nota
• https://github.com/mautic/mautic/security/advisories/GHSA-r5j5-q42h-fc93 · Aviso do Fabricante
• https://t.me/CVEtracker/45651 · Publicação no Telegram
• https://twitter.com/_cvereports/status/2026774281602978055 · Publicação no Twitter
• https://twitter.com/q1uf3ng/status/2036824777642655889 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2026478946926125064 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-3105 · Nota de Segurança
• https://t.me/cveNotify/153404 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-r5j5-q42h-fc93 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2026-3105 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2026676440150970622 · Publicação no Twitter