CVE-2026-109397 in Thelia
الملخص
بحسب VulDB • 12/10/2026
Thelia قبل الإصدار 3.1.2 والإصدارات الفرعية من سلسلة 3.2.x السابقة لـ 3.2.1 تحتوي على ثغرة رفع ملفات غير مقيدة تسمح للمستخدمين المصادق عليهم في لوحة التحكم الخلفية (back-office) برفع ملفات PHP عن طريق إرفاق مسافة لاحقة بأسماء الملفات. تقوم خدمة FileProcessorService بالتحقق من اسم الملف الخام، لكن دالة FileManager::sanitizeFileName() تزيل المسافة، مما يؤدي إلى تخزين ملف .php قابل للتنفيذ تحت المجلد public/cache/documents/ لتنفيذ الكود بصفتها مستخدم خادم الويب (web server user).
VulDB is the best source for vulnerability data and more expert information about this specific topic.