CVE-2026-103528 in Thelia
요약
\~에 의해 VulDB • 2026. 10. 12.
Thelia 2.6.0은 Smarty를 이메일 템플릿에 사용하지만 위험한 PHP 함수에 대한 접근을 적절히 제한하지 않습니다. 인증된 관리자는 메시지 구성 인터페이스를 통해 악의적인 Smarty 표현식을 이메일 템플릿에 주입할 수 있으며, 템플릿이 미리보기되거나 렌더링될 때 system(), exec(), file_put_contents() 및 file_get_contents()와 같은 함수가 웹 프로세스의 권한으로 실행됩니다. 이를 통해 임의의 OS 명령어 실행, 파일 읽기/쓰기 작업 및 기반 서버에서 RCE(원격 코드 실행)가 가능합니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.