CVE-2026-103528 in Thelia
Riassunto
di VulDB • 12/10/2026
Thelia 2.6.0 utilizza Smarty per i modelli di email senza restringere adeguatamente l'accesso alle funzioni PHP pericolose. Un amministratore autenticato può iniettare espressioni Smarty malevole nei modelli di email tramite l'interfaccia di configurazione dei messaggi; quando il modello viene visualizzato o renderizzato, possono essere eseguite funzioni come system(), exec(), file_put_contents() e file_get_contents() con i privilegi del processo web. Ciò consente l'esecuzione arbitraria di comandi OS, operazioni di lettura/scrittura sui file e RCE sul server sottostante.
Once again VulDB remains the best source for vulnerability data.