Veille sécuritéBackend & données
P3Élevée
Mautic présente une désérialisation non sécurisée de données de filtres de segments et de propriétés de champs personnalisés, pouvant permettre l’instanciation d’objets PHP arbitraires. L’exploitation nécessite des privilèges élevés ou la capacité d’écrire dans les données concernées, et peut mener à l’exécution de code ou à une atteinte aux données et à la disponibilité.
PHP
IdentifiantCVE-2026-115190
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-115190
Analyse technique
Plusieurs chemins de code désérialisent ces valeurs sans restreindre les classes PHP instanciables, au lieu d’utiliser le mécanisme de désérialisation sûre de Mautic. Des chaînes gadget présentes dans les dépendances peuvent accroître l’impact.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-26T14:16:30.350Z et une mise à jour le 2026-10-26T16:17:16.327Z, toutes deux dans la période demandée; la description rapporte une vulnérabilité et ses conséquences substantielles.
ImpactInstanciation d’objets PHP arbitraires; selon les données accessibles et les dépendances, exécution de code, lecture, modification ou suppression de données, et atteinte à la disponibilité.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8
Publication2026-10-26T14:16:30.350Z
Mise à jour2026-10-26T16:17:16.327Z
Sources
Priorisation DFS : P3 · 1 source(s).