Iniciar sesión
Deutsch English Español Polski
Media

XSS vulnerability in theme config file in Mautic

  • Publicada: 19.01.2021
  • Actualizado: 11.10.2026 10:22

Impact

Mautic before v2.13.0 has stored XSS via a theme config file.

Patches

Update to 2.13.0 or later.

Workarounds

None.

For more information

If you have any questions or comments about this advisory:

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

PlataformaPaqueteVersiones vulnerablesCorregida en
Paquete de Composer mautic/core < 2.13.0 2.13.0

Referencias

Puntuación CVSS 6.1/10
Vector CVSS
CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
Debilidad (CWE)
CWE-79
Plataforma
Composer
Paquete
mautic/core
Publicada
19.01.2021
Actualizado
11.10.2026 10:22

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-5w74-jx7m-x6hv - CC BY 4.0

Historial de vulnerabilidades: mautic/core

Todas las vulnerabilidades publicadas de este paquete (Paquete de Composer), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (57) en el archivo
Entradas en total
57
Primera → última
01.2021 07.2026
Sin corrección
1
Explotada en ataques
0

Distribución por gravedad

  • Crítica 9
  • Alta 17
  • Media 29
  • Baja 2

Divulgaciones por año

Gravedad:
  1. XSS vulnerability in theme config file in Mautic esta entrada
    Media · 6.1 CVE-2018-8071 < 2.13.0 2.13.0
  2. Mautic has Stored Cross-Site Scripting (XSS) in Projects Component
    Alta · 7.6 CVE-2026-9809 >= 7.0.0, < 7.1.2 7.1.2
  3. Mautic has an Authorization Bypass in API v2 Endpoints
    Alta · 7.1 CVE-2026-9808 >= 7.0.0, < 7.1.2 7.1.2
  4. Mautic vulnerable to Path Traversal via Campaign Import
    Crítica · 9.9 CVE-2026-9559 >= 7.0.0, < 7.1.2 7.1.2
  5. Mautic has Server-Side Template Injection (SSTI) in Theme Templates
    Crítica · 9.9 CVE-2026-9558 >= 1.3.0, >= 5.0.0, < 5.2.11, >= 6.0.0, < 6.0.9, >= 7.0.0, < 7.1.2 5.2.11, 6.0.9, 7.1.2
  6. Mautic has SQL Injection in API Contact Filtering
    Alta · 7.1 CVE-2026-4776 >= 2.6.0, <= 4.4.13, >= 5.0.0, < 5.2.11, >= 6.0.0, < 6.0.9, >= 7.0.0, < 7.1.2 5.2.11, 6.0.9, 7.1.2
  7. Mautic is Vulnerable to SQL Injection through Contact Activity API Sorting
    Alta · 7.6 CVE-2026-3105 >= 2.10.0, < 5.2.10, >= 6.0.0-alpha, < 6.0.8, >= 7.0.0-alpha, < 7.0.1 5.2.10, 6.0.8, 7.0.1
  8. Mautic user without privileged access to the Marketplace can install and uninstall composer packages
    Crítica CVE-2025-13828 >= 4.0.0, < 4.4.18, >= 5.0.0, < 5.2.9, >= 6.0.0, < 6.0.7 4.4.18, 5.2.9, 6.0.7
  9. Mautic allows Improper Authorization in Reporting API
    Alta · 7.7 CVE-2024-47053 >= 1.0.1, < 5.2.3 5.2.3
  10. Mautic allows Remote Code Execution and File Deletion in Asset Uploads
    Crítica · 9.1 CVE-2024-47051 < 5.2.3 5.2.3
  11. Mautic vulnerable to Improper Access Control in UI upgrade process
    Alta · 7.0 CVE-2022-25768 >= 1.1.3, < 4.4.13, >= 5.0.0-alpha, < 5.1.1 4.4.13, 5.1.1
  12. Mautic is vulnerable to XSS vulnerability
    Crítica · 9.6 CVE-2020-35125 < 2.16.5, >= 3.0.0, < 3.2.4 2.16.5, 3.2.4
  13. Mautic Sensitive Data Exposure due to inadequate user permission settings
    Alta · 8.3 CVE-2022-25776 >= 1.0.2, < 4.4.12, >= 5.0.0-alpha, < 5.0.4 4.4.12, 5.0.4
  14. Mautic vulnerable to Relative Path Traversal / Arbitrary File Deletion due to GrapesJS builder
    Alta · 8.1 CVE-2021-27916 >= 3.3.0, < 4.4.12, >= 5.0.0-alpha, < 5.0.4 4.4.12, 5.0.4
  15. Mautic vulnerable to stored cross-site scripting in description field
    Alta · 7.6 CVE-2021-27915 >= 1.0.0-beta2, < 4.4.12 4.4.12
  16. Cross-site Scripting vulnerability in Mautic's tracking pixel functionality
    Crítica · 9.6 CVE-2022-25772 < 4.3.0 4.3.0
  17. Mautic stored Cross-site Scripting (XSS)
    Crítica · 9.0 CVE-2020-35129 < 3.2.4 3.2.4
  18. Mautic stored Cross-site Scripting (XSS)
    Crítica · 9.0 CVE-2020-35128 >= 3.2.0, < 3.2.4, >= 2.0.0, < 2.16.5 3.2.4, 2.16.5
  19. Sensitive Cookie Without HttpOnly and Secure Flag
    Alta · 7.5 CVE-2017-1000046 < 2.1.1 2.1.1
  20. Mautic Cross-Site Request Forgery (CSRF)
    Alta · 8.8 CVE-2017-8874 = 1.4.1 sin corrección
  21. Stored XSS vulnerability on Bounce Management Callback
    Alta · 8.2 CVE-2021-27910 < 3.3.4, >= 4.0.0-alpha1, < 4.0.0 3.3.4, 4.0.0
Mostrar más (6) Mostrando 21 de 27

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación
Newsletter DockRay

La seguridad de tus aplicaciones en tu correo

Vulnerabilidades importantes, recomendaciones concretas y consejos prácticos para tus aplicaciones. Elige tus tecnologías y sigue lo que importa para tu proyecto.

  • Un resumen diario de nuevas vulnerabilidades, también las críticas.
  • Avisos sobre actualizaciones importantes.
  • Consejos prácticos sobre seguridad y monitorización de aplicaciones.

Déjalo vacío para recibir avisos de todas las tecnologías.

Política de privacidad

Suscripción gratuita. Date de baja con un clic en cualquier correo.