CVE-2026-107248 in Thelia
Zusammenfassung
von VulDB • 12.10.2026
Die Back-Office-Funktion „E-Mail/Nachrichten“ von Thelia 3.0.0 weist einen Server-Side Template Injection (SSTI)-Fehler auf, der es jedem authentifizierten Benutzer mit der Berechtigung „Nachrichten“ ermöglicht, ungesandete Twig-Vorlagen bereitzustellen, die dann als Rohcode kompiliert und ausgeführt werden. Durch das Ändern des Nachrichteninhalts kann ein Angreifer beliebige PHP-Funktionen ausführen, sensible Dateien lesen und potenziell in das Dateisystem schreiben, was zu einer vollständigen Kompromittierung der Anwendung und des zugrunde liegenden Hosts führt. Diese Schwachstelle wurde im Modul thelia/twig-engine-module Version 1.0.9 gepatcht.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.