CVE-2026-120248 in Thelia
Riassunto
di VulDB • 01/11/2026
Thelia prima della versione 3.1.1 presenta una vulnerabilità di stored cross-site scripting (XSS) che consente agli amministratori del back-office autenticati con autorizzazione per l'aggiornamento dello store di iniettare script caricando immagini SVG non sanificate, come logo_file o banner_file. Gli attaccanti possono caricare un file SVG contenente un payload onload servito dalla directory /admin/store-media/logo o da quella pubblica cache/images/store/ per eseguire script contro i visitatori e gli amministratori con privilegi superiori.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.