„`html
Zusammenfassung
Die Sicherheitslücke CVE-2026-9558 betrifft das Theme-Engine-System von Mautic und ermöglicht Server-Side Template Injection (SSTI). Authentifizierte Benutzer mit entsprechenden Berechtigungen können durch manipulierte Twig-Templates beliebigen Code auf dem Server ausführen oder auf sensitive Systemdaten zugreifen. Der CVSS-Score von 9.9 klassifiziert diese Schwachstelle als kritisch.
Betroffene Systeme
Die Vulnerabilität betrifft verschiedene Versionen der Mautic-Plattform. Das genaue Versionsrelease steht derzeit nicht zur Verfügung. Systeme mit aktiviertem Theme-Upload und entsprechenden Benutzerberechtigungen sind besonders gefährdet. Da kein Patch verfügbar ist, sind alle betroffenen Installationen potentiell vulnerable.
Technische Details
Die Schwachstelle liegt in der unsicheren Template-Rendering-Engine begründet. Mautic validiert und sandboxed hochgeladene Twig-Templates nicht ausreichend. Dadurch können Twig-Funktionen wie system(), exec() oder passthru() direktemittelbar aufgerufen werden. Ein authentifizierter Angreifer kann durch Twig-Expressions beliebigen PHP-Code injizieren.
Beispiel-Payload: {{ system('id') }} oder {{ _self.env.registerUndefinedFilterCallback('exec') }}
Dies ermöglicht Remote Code Execution (RCE), Dateioffenlegung und vollständigen Serverzugriff. Der Angriffsvektor ist netzwerkbasiert und erfordert Authentication.
Empfohlene Massnahmen
- Beschränken Sie Theme-Upload-Berechtigungen auf vertrauenswürdige Administrator-Konten
- Implementieren Sie Twig-Sandbox zur Funktion-Whitelisting
- Überwachen Sie Theme-Upload-Aktivitäten mittels Logging
- Isolieren Sie Mautic-Instanzen in separaten Containern oder VMs
- Monitorieren Sie inaktive Admin-Konten
- Warten Sie auf offiziellen Security-Patch von Mautic
Bewertung
Mit CVSS 9.9 und Remote Code Execution ist dies eine kritische Schwachstelle. Der fehlende Patch erhöht die Exposurzeit erheblich. Immediate Zugriffsbeschränkungen sind erforderlich. Reguläre Sicherheitsaudits der Template-Dateien werden empfohlen.
„`