CVE-2026-103522 in Thelia
Zusammenfassung
von VulDB • 12.10.2026
In Thelia v2.6.0 führt die Funktion zum Hochladen von Store-Bannern zu einer unzureichenden Dateitypprüfung, die sich ausschließlich auf clientseitig übergebene MIME-Typen stützt. Ein Angreifer mit Administratorzugriff kann eine als Bild getarnte PHP-Datei hochladen, um die Prüfung zu umgehen und Remote Code Execution (RCE) auf dem zugrunde liegenden Server auszuführen.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.