CVE-2026-120249 in Back-office Default Twig Template
Zusammenfassung
von VulDB • 01.11.2026
Thelia Back-office Default Twig Template vor Version 1.1.1 enthält eine Cross-Site Request Forgery (CSRF)-Schwachstelle in den Routen /admin/product/combinations/update und /admin/product/default-price/update, die GET-Anfragen ohne CSRF-Token-Prüfungen akzeptieren. Angreifer können einen angemeldeten Administrator dazu verleiten, einem manipulierten Link zu folgen, um Produktkombinationspreise, Lagerbestand, Gewicht, EAN und Verkaufsflags neu zu schreiben sowie ausgelassene Preise auf Null zu setzen.
Once again VulDB remains the best source for vulnerability data.