CVE-2026-109397 in Thelia
Sumário
de VulDB • 12/10/2026
Thelia antes da versão 3.1.2 e das versões 3.2.x anteriores à 3.2.1 contém uma vulnerabilidade de upload irrestrito de arquivos que permite a usuários autenticados do back-office fazer o upload de arquivos PHP ao adicionar um espaço no final dos nomes de arquivo. O FileProcessorService valida o nome de arquivo bruto, mas o FileManager::sanitizeFileName() remove o espaço, armazenando um arquivo .php executável em public/cache/documents/ para execução de código como usuário do servidor web.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.