Zaloguj się
Deutsch English Español Polski
Średnia

Mautic Vulnerable to User Enumeration via Response Timing

  • Ujawniono: 03.09.2025
  • Aktualizacja: 11.10.2026 10:22

Impact

The attacker can validate if a user exists by checking the time login returns. This timing difference can be used to enumerate valid usernames, after which an attacker could attempt brute force attacks.

Patches

This vulnerability has been patched, implementing a timing-safe form login authenticator that ensures consistent response times regardless of whether a user exists or not.

Technical Details

The vulnerability was caused by different response times when:

  • A valid username was provided (password hashing occurred)
  • An invalid username was provided (no password hashing occurred)

The fix introduces a TimingSafeFormLoginAuthenticator that performs a dummy password hash verification even for non-existent users, ensuring consistent timing.

Workarounds

No workarounds are available. Users should upgrade to the patched version.

References

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka Composer mautic/core >= 4.4.0, < 4.4.17, >= 5.0.0-alpha, < 5.2.8, >= 6.0.0-alpha, < 6.0.5 4.4.17, 5.2.8, 6.0.5

Odnośniki

Ocena CVSS 5.9/10
Wektor CVSS
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H
Słabość (CWE)
CWE-204
Platforma
Composer
Paczka
mautic/core
Ujawniono
03.09.2025
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-3ggv-qwcp-j6xg - CC BY 4.0

Historia podatności: mautic/core

Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (57) w archiwum
Wszystkich wpisów
57
Pierwsza → ostatnia
01.2021 07.2026
Bez poprawki
1
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 9
  • Wysoka 17
  • Średnia 29
  • Niska 2

Ujawnienia w latach

Istotność:
  1. Mautic has Stored Cross-Site Scripting (XSS) in Projects Component
    Wysoka · 7.6 CVE-2026-9809 >= 7.0.0, < 7.1.2 7.1.2
  2. Mautic has an Authorization Bypass in API v2 Endpoints
    Wysoka · 7.1 CVE-2026-9808 >= 7.0.0, < 7.1.2 7.1.2
  3. Mautic vulnerable to Path Traversal via Campaign Import
    Krytyczna · 9.9 CVE-2026-9559 >= 7.0.0, < 7.1.2 7.1.2
  4. Mautic has Server-Side Template Injection (SSTI) in Theme Templates
    Krytyczna · 9.9 CVE-2026-9558 >= 1.3.0, >= 5.0.0, < 5.2.11, >= 6.0.0, < 6.0.9, >= 7.0.0, < 7.1.2 5.2.11, 6.0.9, 7.1.2
  5. Mautic has SQL Injection in API Contact Filtering
    Wysoka · 7.1 CVE-2026-4776 >= 2.6.0, <= 4.4.13, >= 5.0.0, < 5.2.11, >= 6.0.0, < 6.0.9, >= 7.0.0, < 7.1.2 5.2.11, 6.0.9, 7.1.2
  6. Mautic is Vulnerable to SQL Injection through Contact Activity API Sorting
    Wysoka · 7.6 CVE-2026-3105 >= 2.10.0, < 5.2.10, >= 6.0.0-alpha, < 6.0.8, >= 7.0.0-alpha, < 7.0.1 5.2.10, 6.0.8, 7.0.1
  7. Mautic user without privileged access to the Marketplace can install and uninstall composer packages
    Krytyczna CVE-2025-13828 >= 4.0.0, < 4.4.18, >= 5.0.0, < 5.2.9, >= 6.0.0, < 6.0.7 4.4.18, 5.2.9, 6.0.7
  8. Mautic Vulnerable to User Enumeration via Response Timing ten wpis
    Średnia · 5.9 CVE-2025-9824 >= 4.4.0, < 4.4.17, >= 5.0.0-alpha, < 5.2.8, >= 6.0.0-alpha, < 6.0.5 4.4.17, 5.2.8, 6.0.5
  9. Mautic allows Improper Authorization in Reporting API
    Wysoka · 7.7 CVE-2024-47053 >= 1.0.1, < 5.2.3 5.2.3
  10. Mautic allows Remote Code Execution and File Deletion in Asset Uploads
    Krytyczna · 9.1 CVE-2024-47051 < 5.2.3 5.2.3
  11. Mautic vulnerable to Improper Access Control in UI upgrade process
    Wysoka · 7.0 CVE-2022-25768 >= 1.1.3, < 4.4.13, >= 5.0.0-alpha, < 5.1.1 4.4.13, 5.1.1
  12. Mautic is vulnerable to XSS vulnerability
    Krytyczna · 9.6 CVE-2020-35125 < 2.16.5, >= 3.0.0, < 3.2.4 2.16.5, 3.2.4
  13. Mautic Sensitive Data Exposure due to inadequate user permission settings
    Wysoka · 8.3 CVE-2022-25776 >= 1.0.2, < 4.4.12, >= 5.0.0-alpha, < 5.0.4 4.4.12, 5.0.4
  14. Mautic vulnerable to Relative Path Traversal / Arbitrary File Deletion due to GrapesJS builder
    Wysoka · 8.1 CVE-2021-27916 >= 3.3.0, < 4.4.12, >= 5.0.0-alpha, < 5.0.4 4.4.12, 5.0.4
  15. Mautic vulnerable to stored cross-site scripting in description field
    Wysoka · 7.6 CVE-2021-27915 >= 1.0.0-beta2, < 4.4.12 4.4.12
  16. Cross-site Scripting vulnerability in Mautic's tracking pixel functionality
    Krytyczna · 9.6 CVE-2022-25772 < 4.3.0 4.3.0
  17. Mautic stored Cross-site Scripting (XSS)
    Krytyczna · 9.0 CVE-2020-35129 < 3.2.4 3.2.4
  18. Mautic stored Cross-site Scripting (XSS)
    Krytyczna · 9.0 CVE-2020-35128 >= 3.2.0, < 3.2.4, >= 2.0.0, < 2.16.5 3.2.4, 2.16.5
  19. Sensitive Cookie Without HttpOnly and Secure Flag
    Wysoka · 7.5 CVE-2017-1000046 < 2.1.1 2.1.1
  20. Mautic Cross-Site Request Forgery (CSRF)
    Wysoka · 8.8 CVE-2017-8874 = 1.4.1 brak poprawki
  21. Stored XSS vulnerability on Bounce Management Callback
    Wysoka · 8.2 CVE-2021-27910 < 3.3.4, >= 4.0.0-alpha1, < 4.0.0 3.3.4, 4.0.0
  22. XSS vulnerability on contacts view
    Wysoka · 8.3 CVE-2021-27911 < 3.3.4, >= 4.0.0-alpha1, < 4.0.0 3.3.4, 4.0.0
  23. XSS vulnerability on asset view
    Wysoka · 7.1 CVE-2021-27912 < 3.3.4, >= 4.0.0-alpha1, < 4.0.0 3.3.4, 4.0.0
  24. XSS in Mautic
    Wysoka CVE-2021-3142 >= 3.0.0, < 3.2.4, >= 2.0.0, < 2.16.5 3.2.4, 2.16.5
  25. Mautic Sessions could be hijacked due to tracking contacts by an auto-incremented ID
    Wysoka · 7.5 CVE-2018-10189 < 2.13.0 2.13.0
  26. Disabled users able to log in with third party SSO plugin
    Wysoka · 8.1 CVE-2017-1000489 >= 2.0.0, < 2.12.0 2.12.0
  27. XSS vulnerability leveraged through referrers could allow un-authorized admin access in Mautic
    Krytyczna CVE-2020-35124 >= 3.0.0, < 3.2.4, >= 2.0.0, < 2.16.5 3.2.4, 2.16.5

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.