CVE-2026-103524
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Thelia v2.6.0 jest podatna na wiele trwałych podatności XSS w interfejsie administracyjnym. Dane wprowadzane przez użytkownika są przechowywane bez wystarczającego kodowania wyjściowego lub sanityzacji, a następnie renderowane w interfejsie administratora i/lub na stronach produktów sklepu, co umożliwia wykonanie dowolnego JavaScript podczas przeglądania dotkniętych stron. Podatność dotyczy wielu funkcji administracyjnych, w tym tworzenia kategorii i produktów.
Ocena ryzyka
Atakujący może wykonać złośliwy skrypt w przeglądarkach administratorów lub klientów, co może prowadzić do kradzieży danych, przejęcia sesji lub manipulacji treścią.
Rekomendacja
Zaktualizuj Thelia do wersji, która odpowiednio koduje i sanityzuje dane wejściowe przed zapisem i renderowaniem.
Inne podatności w Thelia
Zobacz wszystkie- CVE-2026-120248Średnie
Thelia przed wersją 3.1.1 zawiera podatność na przechowywany XSS, która pozwala uwierzytelnionym administratorom back-office z uprawnieniem do aktualizacji sklepu wstrzykiwać skrypty przez przesyłanie nieoczyszczonych obrazów SVG logo_file lub banner_file. Złośliwy SVG z ładunkiem onload może być serwowany z /admin/store-media/logo lub publicznego katalogu cache/images/store/ i wykonywać skrypty wobec odwiedzających i administratorów z wyższymi uprawnieniami.
- CVE-2026-120206Średnie
Thelia przed wersją 3.2.0 zawiera podatność cross-site request forgery w panelu administracyjnym, która pozwala atakującym sfałszować działania administracyjne, ponieważ tokeny CSRF na sesję wyciekają przez ciągi zapytań URL. Atakujący może ponownie użyć ujawnionych tokenów lub wykorzystać niechronione akcje setToggleVisibilityAction i updatePositionAction, aby zalogowani administratorzy usuwali, ukrywali lub zmieniali kolejność obiektów katalogu i konfiguracji.
- CVE-2026-120205Wysokie
Thelia przed wersją 3.1.0 zawiera podatność przechowywanego cross-site scripting w funkcji ForSomeCustomers::getSummary(), która pozwala nieuwierzytelnionym atakującym wstrzykiwać skrypty poprzez nieescapowane nazwy klientów. Atakujący może zarejestrować się z ładunkiem skryptu jako nazwą, który wykonuje się, gdy administratorzy przeglądają powiązane kupony, kradnąc tokeny CSRF w celu utworzenia kont administratorów.
- CVE-2026-112285Średnie
Thelia przed wersją 3.1.5 oraz 3.2.x przed 3.2.4 zawiera podatność logiki biznesowej, która pozwala uwierzytelnionym klientom obejść limity użycia kuponów, ponieważ użycie jest liczone tylko wtedy, gdy zamówienia staną się opłacone. Atakujący może składać wiele zamówień z odroczoną płatnością, gdy limit jest jeszcze dostępny, lub anulować opłacone zamówienia, aby zawyżyć max_usage i uzyskać nieograniczone rabaty.
- CVE-2026-109397Wysokie
Thelia przed wersją 3.1.2 i 3.2.x przed 3.2.1 zawiera podatność na nieograniczone przesyłanie plików, która pozwala uwierzytelnionym użytkownikom panelu administracyjnego na przesyłanie plików PHP przez dodanie spacji na końcu nazwy pliku. FileProcessorService waliduje surową nazwę pliku, ale FileManager::sanitizeFileName() usuwa spację, przechowując wykonywalny plik .php w public/cache/documents/ w celu wykonania kodu jako użytkownik serwera WWW.
- CVE-2026-109396Średnie
Thelia przed wersją 3.1.2 oraz wersje 3.2.x przed 3.2.1 zawiera podatność wstrzykiwania formuł CSV, która pozwala nieuwierzytelnionym odwiedzającym wstrzykiwać formuły arkusza kalkulacyjnego poprzez podanie spreparowanych pól rejestracji, zamówienia lub newslettera.
- CVE-2026-107248Wysokie
Funkcja Email/Messages w back-office Thelia 3.0.0 zawiera podatność na wstrzyknięcie szablonów po stronie serwera (SSTI), pozwalającą uwierzytelnionemu użytkownikowi z uprawnieniem „Messages” na dostarczenie nieosadzonych w piaskownicy szablonów Twig, które są kompilowane i wykonywane jako surowy kod. Może to prowadzić do pełnego przejęcia aplikacji i hosta.
- CVE-2026-103537Średnie
Thelia 2.6.1 zawiera podatność absolutnej ścieżki traversal w obsłudze szablonów Smarty, umożliwiającą SSTI i zdalne wykonanie kodu. Funkcja checkTemplate() ogranicza względne sekwencje traversal, ale nie odrzuca ścieżek absolutnych, co pozwala autoryzowanemu użytkownikowi podać dowolną ścieżkę jako szablon. Smarty ładuje i kompiluje wskazany plik bez skutecznej polityki bezpieczeństwa, co może prowadzić do wykonania kodu z uprawnieniami serwera WWW.
- CVE-2026-103535Wysokie
Thelia v2.6.1 zawiera podatności path traversal i wstrzykiwania kodu PHP w edytorze tłumaczeń, które można połączyć, aby osiągnąć zdalne wykonanie kodu. Parametr item_name nie oczyszcza sekwencji traversal, co pozwala uwierzytelnionemu użytkownikowi z uprawnieniami UPDATE na admin.configuration.language zapisywać pliki poza katalogiem templates/, w tym w ścieżkach dostępnych przez WWW. Dodatkowo logika zapisu tłumaczeń nie escapuje znaków \, co pozwala na wstrzyknięcie kodu PHP do pliku tłumaczeń. Połączone luki umożliwiają zapis złośliwego pliku PHP i jego wykonanie z uprawnieniami serwera WWW.
- CVE-2026-103529Średnie
Thelia v2.6.0 umożliwia uwierzytelnionym administratorom przesyłanie i instalowanie modułów przez funkcję ZIP upload bez walidacji lub sandboxowania osadzonego kodu PHP. Atakujący może umieścić złośliwy kod PHP w metodzie install() modułu, który zostanie wykonany podczas instalacji, umożliwiając zdalne wykonanie kodu z uprawnieniami serwera WWW.
Oryginalny opis (angielski, źródło NVD)
Thelia v2.6.0 is vulnerable to multiple stored XSS vulnerabilities within the administrative interface. User-supplied input is stored without sufficient output encoding or sanitization and is later rendered in the administrator interface and/or the web store's product pages, allowing arbitrary JavaScript execution when the affected pages are viewed. The vulnerability affects multiple administrative functions including category creation and product creation.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS