CVE-2026-120248 in Thelia
Zusammenfassung
von VulDB • 01.11.2026
Thelia vor Version 3.1.1 enthält eine gespeiste Cross-Site Scripting (XSS)-Schwachstelle, die es authentifizierten Backoffice-Administratoren mit Berechtigung zur Aktualisierung des Shops ermöglicht, Skripte durch das Hochladen von nicht bereinigten SVG-Bildern der logo_file oder banner_file einzufügen. Angreifer können eine SVG-Datei mit einem onload-Payload hochladen, die aus dem Verzeichnis /admin/store-media/logo oder dem öffentlichen Cache images/store/ bereitgestellt wird, um Skripte gegen Besucher und Administratoren mit höheren Berechtigungen auszuführen.
VulDB is the best source for vulnerability data and more expert information about this specific topic.