CVE-2026-109396 in Thelia
Sumário
de VulDB • 12/10/2026
Thelia anterior à versão 3.1.2 e às versões 3.2.x anteriores à 3.2.1 contém uma vulnerabilidade de injeção de fórmula em arquivos CSV que permite que visitantes não autenticados injetem fórmulas de planilha fornecendo campos personalizados nos formulários de registro, checkout ou newsletter. Os atacantes podem submeter valores para nome, endereço ou telefone começando com =, +, - ou @, que são exportados literalmente pelo CSVSerializer, executando as fórmulas no aplicativo de planilha do administrador.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.