- Yama var
- Son 7 gün
- CWE-352
CVE-2026-120249
Thelia Back-office Default Twig Template before 1.1.1 CSRF via Product Combination Routes
Orta
6,5
CVSS 3.1
- Yayımlandı
- Güncellendi
- 1 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulnCheck
Özet
Türkçe özeti yalnızca kritik ve yüksek önemdeki açıklar için hazırlıyoruz. Bu açık için kaynağın kendi açıklamasını gösteriyoruz.
Thelia Back-office Default Twig Template before 1.1.1 contains a cross-site request forgery vulnerability in the /admin/product/combinations/update and /admin/product/default-price/update routes, which accept GET requests without anti-CSRF token checks. Attackers can lure a logged-in administrator into following a crafted link to rewrite product combination prices, stock, weight, EAN and sale flags, zeroing omitted prices.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Thelia Back-office Default Twig Template | < 1.1.1 | 1.1.1 |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…thelia/security/advisories/GHSA-j2c3-9c4q-c2ch Üretici bülteni
- github.com/…ommit/aaf540ca552dbc4c63dca77620af4b7936d22e8f Yama
- github.com/…ommit/51b014b06a5b4ee45f15093aa58a3064d4412bd3 Yama
- vulncheck.com/…fore-1.1.1-csrf-via-product-combination-routes Üçüncü taraf
- github.com/…ntroller/Catalog/ProductAdvancedController.php Diğer
Kayıt geçmişi
- Yayımlandı