Mautic 7.2.2: закрыты восемь уязвимостей

Mautic выпустил версию 7.2.2 как обновление безопасности. В официальном описании перечислены восемь устранённых уязвимостей. Они затрагивают импорт кампаний, шаблоны тем, AJAX-поиск контактов, API виджетов панели, пользовательские поля, Asset API, Stats API и обработку отправки форм.

Какие уязвимости устранены

В импорт кампаний внесено исправление для CVE-2026-115188, связанной с удалённым выполнением кода. Для шаблонов тем закрыт выход из песочницы Twig — CVE-2026-115189.

Две отдельные SQL-инъекции зарегистрированы как CVE-2026-115191 в AJAX-механизме поиска контактов и CVE-2026-115192 в API виджетов панели управления. Ещё одно исправление, CVE-2026-115193, устраняет хранимый XSS в пользовательском поле контакта типа HTML.

Asset API получил защиту от чтения произвольных файлов через обход пути — CVE-2026-115194. В Stats API исправлен контроль доступа по CVE-2026-115195, а в обработке отправки форм закрыт открытый редирект CVE-2026-115196. Официальный релиз не приводит на своей странице оценки серьёзности и условия эксплуатации, поэтому эти параметры здесь не расширяются предположениями.

Другие исправления версии

Помимо security-изменений, Mautic 7.2.2 корректно фиксирует неудачные отправки в частично успешных пакетах, сохраняет динамический контент письма при неполном обновлении через API и больше не теряет настройки CRM-плагинов при загрузке контактов.

В сборки также вернули компоненты для проверки ссылок и файлы drag-and-drop-конструктора, исправили замену токенов динамического веб-контента на системах с новой версией libxml и отображение дат после смены часового пояса пользователя.

Что учитывать при обновлении

Команда Mautic рекомендует установить обновление как можно раньше, предварительно создав полную резервную копию и проверив переход в тестовой среде. Это рекомендация проекта; собственное тестирование релиза Удельтой не проводилось.