CVE-2026-103528
NieznaneStreszczenie
Thelia 2.6.0 używa Smarty do szablonów e-mail bez odpowiedniego ograniczenia dostępu do niebezpiecznych funkcji PHP. Uwierzytelniony administrator może wstrzyknąć złośliwe wyrażenia Smarty do szablonów e-mail przez interfejs konfiguracji wiadomości, a podczas podglądu lub renderowania funkcje takie jak system(), exec(), file_put_contents() i file_get_contents() mogą być wykonane z uprawnieniami procesu WWW. Pozwala to na wykonanie dowolnych poleceń OS, operacje odczytu/zapisu plików i RCE na serwerze.
Ocena ryzyka
Administrator może wykonać dowolne polecenia systemowe na serwerze, co prowadzi do pełnej kompromitacji i naruszenia integralności danych.
Rekomendacja
Zaktualizuj Thelia do wersji, która ogranicza dostęp do niebezpiecznych funkcji PHP w szablonach Smarty lub zastosuj politykę bezpieczeństwa Smarty.
Inne podatności w Thelia
Zobacz wszystkie- CVE-2026-109397Wysokie
Thelia przed wersją 3.1.2 i 3.2.x przed 3.2.1 zawiera podatność na nieograniczone przesyłanie plików, która pozwala uwierzytelnionym użytkownikom panelu administracyjnego na przesyłanie plików PHP przez dodanie spacji na końcu nazwy pliku. FileProcessorService waliduje surową nazwę pliku, ale FileManager::sanitizeFileName() usuwa spację, przechowując wykonywalny plik .php w public/cache/documents/ w celu wykonania kodu jako użytkownik serwera WWW.
- CVE-2026-109396Średnie
Thelia przed wersją 3.1.2 oraz wersje 3.2.x przed 3.2.1 zawiera podatność wstrzykiwania formuł CSV, która pozwala nieuwierzytelnionym odwiedzającym wstrzykiwać formuły arkusza kalkulacyjnego poprzez podanie spreparowanych pól rejestracji, zamówienia lub newslettera.
- CVE-2026-107248Nieznane
Funkcja Email/Messages w back-office Thelia 3.0.0 zawiera podatność na wstrzyknięcie szablonów po stronie serwera (SSTI), pozwalającą uwierzytelnionemu użytkownikowi z uprawnieniem „Messages” na dostarczenie nieosadzonych w piaskownicy szablonów Twig, które są kompilowane i wykonywane jako surowy kod. Może to prowadzić do pełnego przejęcia aplikacji i hosta.
- CVE-2026-103537Nieznane
Thelia 2.6.1 zawiera podatność absolutnej ścieżki traversal w obsłudze szablonów Smarty, umożliwiającą SSTI i zdalne wykonanie kodu. Funkcja checkTemplate() ogranicza względne sekwencje traversal, ale nie odrzuca ścieżek absolutnych, co pozwala autoryzowanemu użytkownikowi podać dowolną ścieżkę jako szablon. Smarty ładuje i kompiluje wskazany plik bez skutecznej polityki bezpieczeństwa, co może prowadzić do wykonania kodu z uprawnieniami serwera WWW.
- CVE-2026-103535Nieznane
Thelia v2.6.1 zawiera podatności path traversal i wstrzykiwania kodu PHP w edytorze tłumaczeń, które można połączyć, aby osiągnąć zdalne wykonanie kodu. Parametr item_name nie oczyszcza sekwencji traversal, co pozwala uwierzytelnionemu użytkownikowi z uprawnieniami UPDATE na admin.configuration.language zapisywać pliki poza katalogiem templates/, w tym w ścieżkach dostępnych przez WWW. Dodatkowo logika zapisu tłumaczeń nie escapuje znaków \, co pozwala na wstrzyknięcie kodu PHP do pliku tłumaczeń. Połączone luki umożliwiają zapis złośliwego pliku PHP i jego wykonanie z uprawnieniami serwera WWW.
- CVE-2026-103529Nieznane
Thelia v2.6.0 umożliwia uwierzytelnionym administratorom przesyłanie i instalowanie modułów przez funkcję ZIP upload bez walidacji lub sandboxowania osadzonego kodu PHP. Atakujący może umieścić złośliwy kod PHP w metodzie install() modułu, który zostanie wykonany podczas instalacji, umożliwiając zdalne wykonanie kodu z uprawnieniami serwera WWW.
- CVE-2026-103527Nieznane
Thelia v2.6.0 w szablonach Smarty (address.html i address-update.html) nie escapuje poprawnie podwójnych cudzysłowów w parametrze 'next', co umożliwia odbity Cross-Site Scripting (XSS), gdy uwierzytelniony użytkownik odwiedzi złośliwy link zawierający atakujący JavaScript.
- CVE-2026-103526Niskie
W Thelia v2.6.0 zarówno endpoint logowania administracyjnego, jak i zapomnianego hasła zwracają różne odpowiedzi dla nieprawidłowych nazw użytkownika i błędnych haseł, co pozwala nieuwierzytelnionym atakującym na enumerację kont administratorów. Brak ograniczeń tempa żądań ułatwia skalowanie ataku.
- CVE-2026-103524Nieznane
Thelia v2.6.0 jest podatna na wiele trwałych podatności XSS w interfejsie administracyjnym. Dane wprowadzane przez użytkownika są przechowywane bez wystarczającego kodowania wyjściowego lub sanityzacji, a następnie renderowane w interfejsie administratora i/lub na stronach produktów sklepu, co umożliwia wykonanie dowolnego JavaScript podczas przeglądania dotkniętych stron. Podatność dotyczy wielu funkcji administracyjnych, w tym tworzenia kategorii i produktów.
- CVE-2026-103523Nieznane
Thelia v2.6.0 zawiera podatność otwartego przekierowania w procesie tworzenia adresu. Po uzyskaniu dostępu do spreparowanego URL i pomyślnym przesłaniu formularza 'Add New Address', aplikacja przekierowuje użytkownika na URL określony w parametrze 'next'. Ponieważ aplikacja nie weryfikuje, czy miejsce docelowe należy do tej samej domeny lub jest na liście dozwolonych, atakujący może podać dowolny zewnętrzny URL i przekierować użytkowników na kontrolowaną przez siebie stronę.
Oryginalny opis (angielski, źródło NVD)
Thelia 2.6.0 uses Smarty for email templates without properly restricting access to dangerous PHP functions. An authenticated administrator can inject malicious Smarty expressions into email templates via the messages configuration interface, and when the template is previewed or rendered, functions such as system(), exec(), file_put_contents(), and file_get_contents() can be executed with the privileges of the web process. This allows arbitrary OS command execution, file read/write operations, and RCE on the underlying server.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS