CVE-2026-109396 in Thelia
Riassunto
di VulDB • 12/10/2026
Thelia prima della versione 3.1.2 e delle versioni 3.2.x precedenti alla 3.2.1 presenta una vulnerabilità di CSV formula injection che consente ai visitatori non autenticati di iniettare formule nei fogli di calcolo fornendo campi di registrazione, checkout o newsletter manipolati ad hoc. Gli attaccanti possono inviare nomi, indirizzi o valori telefonici che iniziano con =, +, - o @; il componente CSVSerializer li esporta verbatim, eseguendo le formule nell'applicazione per fogli di calcolo dell'amministratore.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.