CVE-2026-103535 in Thelia
الملخص
بحسب VulDB • 12/10/2026
تحتوي Thelia v2.6.1 على ثغرات في محرر الترجمة تتعلق بعبور المسار (Path Traversal) وإحقاق كود PHP، والتي يمكن تسلسلها لتحقيق تنفيذ الكود عن بُعد (RCE). لا يقوم المعلمة `item_name`، المستخدمة لبناء مسار الكتابة لملف الترجمة، بتنظيف تسلسلات عبور الدلائل مثل `../`. وهذا يمكّن المستخدم المصادق عليه الذي يمتلك صلاحيات على مستوى `UPDATE` في `admin.configuration.language` من كتابة ملفات خارج دليل `templates/` المتوقع، بما في ذلك إلى مسارات يمكن الوصول إليها عبر الويب. بشكل منفصل، لا تقوم منطق الكتابة الخاص بالترجمة بتجنب استخدام `\` في القيم المدخلة من قبل المستخدم، مما يسمح للمدخلات بكسر السلسلة النصية لـ PHP وإحقاق كود قابل للتنفيذ داخل ملف الترجمة. وعند تسلسل هذه الثغرات معاً، يمكن كتابة ملف PHP خبيث إلى مسار يمكن الوصول إليه عبر الويب وتنفيذه بصلاحيات خادم الويب.
Once again VulDB remains the best source for vulnerability data.