漏洞分析

🎯 CVE-2026-9809 深度技术分析：漏洞根因 · PoC/EXP · 检测指纹

AiRedTeam

11 Aug 2026 • 阅读时间 11 分钟

🎯 CVE 全聚合深度分析

CVE-2026-9809 深度技术分析

📊 聚合 3 来源🧪 含 PoC

NVD-LatestGitHub-AdvisoryPoC-in-GitHub

摘要：CVE-2026-9809 是 Mautic 7 Projects 组件中存在的一处存储型跨站脚本（Stored XSS）漏洞，CVSS 评分为 7.6（高危）。该漏洞影响 Mautic 7.0.0 至 7.1.1 版本，已在 7.1.2 中修复。由于项目管理名称在后台详情页（如活动、邮件、表单）中以标签和弹窗（popover）形式渲染时未进行有效的输出编码与净化，经过身份验证且具备项目创建/编辑权限的攻击者可将恶意的 HTML/JavaScript 载荷注入项目名称。当管理员在会话中浏览关联实体并将鼠标悬停至项目标签时，恶意脚本将自动执行，进而可能导致后台敏感操作被代理执行、系统配置被篡改或敏感数据被窃取。

📌 漏洞概述

CVE 编号：CVE-2026-9809
CVSS 评分：7.6（高危）
漏洞类型：存储型跨站脚本（Stored XSS / CWE-79）
受影响组件：Mautic 7 的 Projects 组件（项目标签与弹窗）
影响版本：Mautic 7.0.0 – 7.1.1
修复版本：Mautic 7.1.2
不受影响版本：Mautic 6.x、5.x、4.x（均不包含 Projects 特性，ELTS 渠道除外）
攻击前置条件：需要拥有项目创建或编辑权限的低权限已验证账户
利用方式：存有恶意脚本的项目名称在管理页面被渲染为标签；管理员悬停标签时脚本在浏览器会话上下文中执行

🔬 漏洞根因分析

Mautic 7 新增的 Projects 功能允许用户创建和维护项目，并将项目与活动、邮件、表单等营销实体进行关联。在管理端详情页中，系统会以标签（tag）和悬停弹窗（popover）的形式展示项目名称，以便管理员快速识别实体所属项目。该展示过程本质上是在服务端将存储在数据库中的项目名称嵌入到 HTML 输出中，再交由浏览器渲染。问题在于，Mautic 7 在渲染项目名称时，没有像处理普通文本字段那样进行严格的 HTML 实体编码，也没有执行允许列表式的输出过滤，而是直接将原始的用户输入作为 HTML 片段插入到 DOM 中。

从攻击路径看，攻击者只需要构造一个包含恶意脚本的项目名，例如利用 HTML 事件属性（如 onmouseover、onfocus）或伪协议（如 javascript:）来承载 JavaScript。实际 PoC 中常使用类似 <img src=x onerror=alert(document.cookie)> 或 <svg onload=fetch(...)> 的载荷。当项目名称被保存到数据库后，该值便成为持久化的攻击载荷。当管理员在 Campaign、Email 或 Form 等详情页面浏览关联项目时，前端 JavaScript 会从接口读取项目信息，并动态生成标签和弹窗内容。由于这些动态生成的内容使用了 innerHTML 或类似 API 插入未经净化的项目名，浏览器便将其解析为真实 HTML，导致事件处理器被注册，恶意脚本得以执行。特别值得注意的是，该漏洞的触发只需“悬停”这一低交互动作，降低了利用门槛——攻击者不需要诱导管理员点击任何链接，只要管理员将鼠标移动到项目标签上，脚本便会自动触发。

深入研究后发现，该漏洞本质上是输入验证与输出编码策略不一致导致的。虽然在项目创建/编辑接口可能设置了长度或字符集限制，但这些限制仅用于满足业务规则，并未阻止危险 HTML 标签或事件属性的传入。而在输出阶段，项目名称既未通过 Twig 的 escape 过滤器进行上下文感知编码，也未在 JavaScript 侧使用 textContent 或安全的 DOM 构建方法。攻击者注入的载荷相当于被直接赋值给 innerHTML，从而完全绕过了浏览器自带的 HTML 解析保护。这也是为什么该漏洞被评定为 CVSS 7.6 的高危级别——它需要认证，但触发条件极其简单，影响范围包括管理员账户。

💥 影响与危害

管理员会话劫持：恶意脚本可在管理员会话上下文中执行任意 JavaScript，读取 document.cookie、localStorage 或 sessionStorage，从而窃取会话凭据或 CSRF Token，导致攻击者冒充管理员发起请求。
后台配置篡改：攻击者可利用管理员权限动态创建、修改或删除营销活动、邮件模板、角色权限、系统设置等敏感数据，造成业务中断或持续性攻击。
敏感数据泄露：脚本可向攻击者指定的外部地址发送请求，将管理员当前页面中的客户信息、表单数据、报告结果等机密内容外传。
横向扩展攻击：由于 Mautic 为集中式营销管理平台，一旦管理员账户失陷，攻击者可能进一步向所有关联的邮件列表、Webhook 或第三方集成传播恶意内容，形成供应链级风险。
持久化后门植入：通过修改模板或注入新的 JavaScript 资源，攻击者能够在后续所有访问后台的用户浏览器中长期驻留恶意代码，使漏洞影响面从单个管理员扩大至整个管理团队。

🛡️ 修复与缓解

官方补丁：升级至 Mautic 7.1.2 或更高版本。官方团队已在该版本中对 Projects 标签和弹窗的输出路径进行了安全强化，确保项目名称在 HTML 和 JavaScript 上下文中均被正确编码。升级前请详细阅读官方升级指南，并提前在测试环境验证兼容性。
输入验证：在项目名称字段实施严格的内容安全策略，禁止输入 <、>、&、"、' 等关键字符，或采用白名单模型仅允许字母、数字及少量安全符号。但这仅作为临时加固措施，不能替代输出编码修复。
输出编码：服务端渲染项目名称时，应统一使用 Twig 的 escape 过滤器（默认 html 策略）；在 JavaScript 动态生成弹窗内容时，应使用 textContent 或 createTextNode 替代 innerHTML，必要时使用 DOMPurify 等库进行前端净化。
最小权限原则：审查所有具备项目创建/编辑权限的用户角色，确保仅授权给可信人员。降低低权限账户可造成的潜在影响。
安全监控：启用 Web 应用防火墙（WAF）并配置针对 XSS 载荷的检测规则，对项目名称字段中的异常 HTML 标签或 JavaScript 关键词进行实时阻断与告警。同时监控后台管理员的异常操作日志，尤其是涉及项目名称变更、模板修改或配置改动的操作。
临时规避：在无法立即升级的环境中，可暂时禁用 Projects 功能或关闭项目标签的悬停弹窗展示（若可配置），或是通过反向代理层剥离项目名称中的 HTML 标签，以减少攻击面。但该措施仅建议作为应急手段，最终应尽快升级到修复版本。

🧪 PoC 复现

从 GitHub 公开仓库抓取的实际 PoC 代码（仓库）。

📋 代码元数据语言md来源aj2108/CVE-2026-9809针对性✅ 已验证与漏洞相关（代码含 CVE 引用）依赖见代码注释/README用法详见代码注释中的使用说明

# CVE-2026-9809
CVE-2026-9809 is a Stored Cross-Site Scripting (Stored XSS) vulnerability affecting Mautic 7 (versions 7.0.0 through 7.1.1). The flaw exists in the Projects component,where project names are displayed as tags and hover popovers on administrative pages (such as campaigns,emails,
and forms) without proper output sanitization. An authenticated user with permission to create or edit projects can store malicious HTML/JavaScript in a project name. When an administrator later views an entity associated with that project and hovers over its tag,the malicious script executes in the administrator's browser.

<h2>Affected Software</h2><table><tr>
<th>Property</th><th>Value</th></tr><tr><td><b>Product</b></td><td>Mautic</td></tr><tr><td><b>Affected Versions</b></td><td>7.0.0 – 7.1.1</td></tr><tr><td><b>Fixed Version</b></td><td>7.1.2</td></tr><tr>
<td><b>Affected Component</b></td><td>Projects (Tags &amp;Popovers)</td></tr></table><h2>Vulnerability Type</h2><b>Category:</b>Stored Cross-Site Scripting (Stored XSS)
<b>CWE-79:</b>Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting')
<h2>Root Cause</h2>
The application stores project names provided by authenticated users. Later,when project tags and popover content are rendered on administrative pages,
the stored value is inserted into the HTML without proper output encoding or sanitization.

Conceptually:

````text
User creates project
        │
        ▼
Project name stored in database
        │
        ▼
Administrator opens Campaign / Email / Form
        │
        ▼
Project tag &
popover rendered
        │
        ▼
Project name inserted into HTML without sanitization
        │
        ▼
Browser executes embedded JavaScript
````

Instead of treating the project name as plain text,the browser interprets it as HTML,allowing embedded JavaScript to execute.

<h2>Attack Flow</h2>
````text
Attacker
    │
    ▼
Creates a project with a malicious project name
    │
    ▼
Payload stored in database
    │
    ▼
Administrator views Campaign / Email / Form
    │
    ▼
Administrator hovers over the project tag
    │
    ▼
Popover renders unsanitized project name
    │
    ▼
Browser executes JavaScript
    │
    ▼
Actions performed with administrator's privileges
````

<h2>Attack Scenario</h2>
Suppose an authenticated user creates a project whose name contains HTML instead of ordinary text.

The project is successfully saved because the application does not sanitize the project name on input.

Later,an administrator opens a campaign associated with that project. When the administrator hovers over the project's tag,
the application generates a popover using the stored project name. Since the content is inserted into the page without proper output encoding,the browser interprets it as HTML rather than plain text,causing the embedded JavaScript to execute in the administrator's session.

<h2>Impact</h2>Successful exploitation may allow an attacker to:

<ul>
<li>Execute arbitrary JavaScript in an administrator's browser.</li><li>Perform actions using the administrator's session.</li><li>Modify application settings.</li><li>Access sensitive administrative data.</li><li>Exfiltrate information accessible to the administrator.</li></ul>
The vulnerability primarily impacts confidentiality and integrity.

<h2>Severity</h2><table><tr><th>Metric</th><th>Score</th></tr><tr><td><b>CVSS v3.1 (CNA)</b></td><td>7.6 (High)</td></tr></table>NVD has not yet published its own CVSS assessment;
the current score is provided by the Mautic CNA.

<h2>Conceptual Vulnerable Code</h2><b>Note:</b>The vendor has not published the exact vulnerable source code. The following illustrates the vulnerability pattern.

````html
// Project name retrieved from the server
const projectName = response.project.name;
// Unsafe: inserts user-controlled HTML
popover.innerHTML = `
    <span class="project-tag">${projectName}</span>`;````

<h2>Why It Is Vulnerable</h2>innerHTML causes the browser to parse the stored project name as HTML. If the project name contains HTML elements with JavaScript event handlers,
the browser executes them when rendering the popover.

<h2>Corrected Code (Conceptual)</h2>````html
const tag = document.createElement("span");tag.className = "project-tag";// Safe: treat input as plain text
tag.textContent = response.project.name;popover.replaceChildren(tag);````

<h2>Why This Fix Works</h2>
Using textContent ensures that the project name is treated as literal text instead of HTML. Any HTML special characters are displayed rather than interpreted by the browser,preventing execution of embedded scripts. Where HTML rendering is required,developers should sanitize untrusted content using a well-maintained HTML sanitizer before insertion.

⚔️ EXP 利用代码

截至分析时，Exploit-DB 未收录该 CVE 的公开利用代码。可利用上述 PoC 进行验证，或关注 Exploit-DB 更新。

🕵️ 检测指纹

当前规则库未收录针对该 CVE 的专用检测规则。建议：

根据漏洞根因编写 Nuclei 检测模板
在 WAF/IDS 中配置针对漏洞特征的规则
关注漏洞指纹库更新

🤖 本文由漏洞情报系统自动聚合生成 · 2026-08-11 11:06 · 数据源: NVD/GitHub-Advisory/OSV/CISA-KEV/Exploit-DB/PoC-in-GitHub + 检测规则库