- Yama var
- Son 7 gün
- CWE-79
CVE-2026-120248
Thelia before 3.1.1 Stored XSS via SVG Store Logo and Banner Uploads
Orta
4,8
CVSS 3.1
- Yayımlandı
- Güncellendi
- 1 Kas 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- VulnCheck
Özet
Türkçe özeti yalnızca kritik ve yüksek önemdeki açıklar için hazırlıyoruz. Bu açık için kaynağın kendi açıklamasını gösteriyoruz.
Thelia before 3.1.1 contains a stored cross-site scripting vulnerability that allows authenticated back-office administrators with store update permission to inject scripts by uploading unsanitized SVG logo_file or banner_file images. Attackers can upload an SVG with an onload payload served from /admin/store-media/logo or the public cache/images/store/ directory to execute scripts against visitors and higher-privileged administrators.
Etkilenen sürümler3 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Thelia | < 3.1.1 | 3.1.1 |
| Thelia Back-office Default Twig Template | < 1.1.1 | 1.1.1 |
| Thelia Core | < 3.1.1 | 3.1.1 |
Kaynaklar9 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…thelia/security/advisories/GHSA-gvcv-hvpp-89gx Üretici bülteni
- github.com/…ommit/d79780eafc5b17ac75554c836a1853610d89a090 Yama
- github.com/…ommit/f690a649cbbcee9543647cb7ed5018df68f66658 Yama
- github.com/…ommit/2c691e5c3bb8536ca901fcf7d2780301bd111ba9 Yama
- vulncheck.com/…ored-xss-via-svg-store-logo-and-banner-uploads Üçüncü taraf
- github.com/thelia/thelia/releases/tag/3.1.1 Diğer
- github.com/…roller/Configuration/ConfigStoreController.php Diğer
Kayıt geçmişi
- Yayımlandı