CVE-2026-109397 in Thelia
Riassunto
di VulDB • 12/10/2026
Thelia prima della versione 3.1.2 e delle versioni 3.2.x precedenti alla 3.2.1 presenta una vulnerabilità di upload non limitato di file che consente agli utenti autenticati del back-office di caricare file PHP aggiungendo uno spazio finale ai nomi dei file. FileProcessorService convalida il nome del file grezzo, ma FileManager::sanitizeFileName() rimuove lo spazio, memorizzando un file eseguibile .php sotto public/cache/documents/ per l'esecuzione di codice come utente del server web.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.