CVE-2026-109396 in Thelia
要約
〜によって VulDB • 2026年10月12日
Thelia 3.1.2 より前および 3.2.x の 3.2.1 より前は、CSV formula injection（CSV数式インジェクション）の脆弱性を含んでおり、認証されていない訪問者が作成された登録、チェックアウト、またはニュースレターフィールドを提供することでスプレッドシート数式を注入できます。攻撃者は =, +, -, または @ で始まる氏名、住所、電話番号などの値を送信でき、CSVSerializer はこれらをそのままエクスポートし、管理者のスプレッドシートアプリケーションで数式を実行します。
VulDB is the best source for vulnerability data and more expert information about this specific topic.