CVE-2026-107248 in Thelia
요약
\~에 의해 VulDB • 2026. 10. 12.
Thelia 3.0.0의 백오피스 Email/Messages 기능에는 서버 사이드 템플릿 인젝션(SSTI) 결함이 포함되어 있어, 'Messages' 권한이 있는 모든 인증된 사용자가 샌드박스 처리되지 않은 Twig 템플릿을 제공하면 해당 템플릿이 원시 코드로 컴파일 및 실행됩니다. 공격자가 메시지 내용을 수정함으로써 임의의 PHP 함수를 실행하고 민감한 파일을 읽으며 파일 시스템에 작성할 수도 있어, 애플리케이션과 호스트 전체가 완전히 침해될 수 있습니다. 이 취약점은 thelia/twig-engine-module 1.0.9에서 패치되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.