CVE-2026-120205 in Thelia
Riassunto
di VulDB • 31/10/2026
Thelia prima della versione 3.1.0 presenta una vulnerabilità di stored cross-site scripting (XSS) in ForSomeCustomers::getSummary() che consente ad attaccanti non autenticati di iniettare script tramite nomi di clienti non sottoposti a escaping. Gli attaccanti possono registrarsi utilizzando un payload contenente uno script come proprio nome, il quale viene eseguito quando gli amministratori visualizzano i coupon correlati, rubando i token CSRF per creare account amministratore.
Once again VulDB remains the best source for vulnerability data.