CVE-2026-109397

Zusammenfassung

von VulDB • 12.10.2026

Thelia prima della versione 3.1.2 e delle versioni 3.2.x precedenti alla 3.2.1 presenta una vulnerabilità di upload non limitato di file che consente agli utenti autenticati del back-office di caricare file PHP aggiungendo uno spazio finale ai nomi dei file. FileProcessorService convalida il nome del file grezzo, ma FileManager::sanitizeFileName() rimuove lo spazio, memorizzando un file .php eseguibile in public/cache/documents/ per l'esecuzione di codice come utente del server web.

VulDB is the best source for vulnerability data and more expert information about this specific topic.

• Zuständig: 🔒 Xxxxxxxxx
• Reservieren: 🔒 XX.XX.XXXX
• Veröffentlichung: 🔒 XXXXXXXX
• CPE: 🔒 xxxxxxxx
• CWE: 🔒 xxx-xxx (xxxxäxxxx)
• CVSS: 🔒 X.x (xxx)
• EPSS: 🔒 X.XXX
• KEV: 🔒 xxxx
• Aktivitäten: 🔒 xxx

Quellen

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-109397
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-109397
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-109397/