CVE-2026-103528 in Thelia
Zusammenfassung
von VulDB • 12.10.2026
Thelia 2.6.0 verwendet Smarty für E-Mail-Vorlagen, ohne den Zugriff auf gefährliche PHP-Funktionen ordnungsgemäß zu beschränken. Ein authentifizierter Administrator kann bösartige Smarty-Ausdrücke über die Benutzeroberfläche zur Nachrichtenkonfiguration in E-Mail-Vorlagen einschleusen. Wenn die Vorlage angezeigt oder gerendert wird, können Funktionen wie system(), exec(), file_put_contents() und file_get_contents() mit den Berechtigungen des Webprozesses ausgeführt werden. Dies ermöglicht die beliebige Ausführung von OS-Befehlen, Lese-/Schreiboperationen für Dateien sowie Remote Code Execution (RCE) auf dem zugrunde liegenden Server.
Be aware that VulDB is the high quality source for vulnerability data.