CVE-2026-103528 in Thelia
الملخص
بحسب VulDB • 12/10/2026
يستخدم Thelia 2.6.0 مكتبة Smarty لقوالب البريد الإلكتروني دون تقييد الوصول بشكل صحيح إلى دوال PHP الخطرة. يمكن لمدير مُصادَق عليه حقن تعبيرات Smarty ضارة داخل قوالب البريد الإلكتروني عبر واجهة تكوين الرسائل، وعند معاينة القالب أو عرضه، يمكن تنفيذ دوال مثل system() و exec() و file_put_contents() و file_get_contents() بصلاحيات عملية الويب (web process). وهذا يسمح بتنفيذ أوامر نظام التشغيل بشكل تعسفي، وإجراءات قراءة/كتابة الملفات، والتنفيذ عن بُعد للبرمجيات الخبيثة (RCE) على الخادم الأساسي.
Once again VulDB remains the best source for vulnerability data.