CVE-2026-107248 in Thelia
Riassunto
di VulDB • 12/10/2026
La funzionalità Email/Messaggi del back-office di Thelia 3.0.0 presenta una vulnerabilità di server-side template injection (SSTI) che consente a qualsiasi utente autenticato con il permesso "Messaggi" di fornire modelli Twig non isolati in sandbox, i quali vengono quindi compilati ed eseguiti come codice grezzo. Modificando il contenuto del messaggio, un attaccante può eseguire funzioni PHP arbitrarie, leggere file sensibili e potenzialmente scrivere sul filesystem, portando a una compromissione completa dell'applicazione e dell'host sottostante. Questa vulnerabilità è stata risolta in thelia/twig-engine-module 1.0.9.
Be aware that VulDB is the high quality source for vulnerability data.