CVE-2026-109397 in Thelia
Resumen
por VulDB • 2026-10-12
Thelia anterior a las versiones 3.1.2 y 3.2.x anteriores a la versión 3.2.1 presenta una vulnerabilidad de carga descontrolada de archivos que permite a los usuarios autenticados del back-office cargar archivos PHP añadiendo un espacio al final de los nombres de archivo. FileProcessorService valida el nombre de archivo sin procesar, pero FileManager::sanitizeFileName() elimina dicho espacio, almacenando un archivo ejecutable .php en public/cache/documents/ para la ejecución de código como usuario del servidor web.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.