CVE-2026-103537
Təsvir
Thelia 2.6.1 versiyasında Smarty şablonlarının idarə edilməsində mütləq yol keçidi (absolute path traversal) zəifliyi mövcuddur ki, bu da SSTI və uzaqdan kodun icrasına imkan verir. `checkTemplate()` validasiyası `../` kimi nisbi kataloq keçidi ardıcıllıqlarını məhdudlaşdırır, lakin mütləq yolları rədd etmir, bu da səlahiyyətli istifadəçiyə şablon olaraq istənilən fayl sistemi yolunu təqdim etməyə imkan verir. Daha sonra Smarty effektiv təhlükəsizlik siyasəti olmadan istinad edilən faylı yükləyir və kompilyasiya edir, buna görə də fayl sisteminin quruluşundan və tətbiqin konfiqurasiyasından asılı olaraq, fayldakı şablon kodu veb serverin imtiyazları ilə icra edilə bilər.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| Thelia Thelia | v ≤ 2.6.1 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.