CVE-2026-109397
Yüksək
Təsvir
Thelia-nın 3.1.2-dən əvvəlki və 3.2.x versiyasının 3.2.1-dən əvvəlki versiyalarında autentifikasiya olunmuş back-office istifadəçilərinə fayl adlarının sonuna boşluq əlavə etməklə PHP fayllarını yükləməyə imkan verən məhdudiyyətsiz fayl yükləmə zəifliyi mövcuddur. FileProcessorService xam fayl adını yoxlayır, lakin FileManager::sanitizeFileName() funksiyası boşluğu silir və veb server istifadəçisi kimi kodun icrası üçün public/cache/documents/ qovluğunda icra oluna bilən .php faylı saxlayır.
CiddilikYüksək
CVSS7.2
İstismar ehtimalı—
Məhsul
Thelia
Dərc12 okt 2026
İlk görülmə12 okt 2026
Zəiflik növüCWE-434Təhlükəli fayl növünün yüklənməsinə icazə
Necə düzəltmək olar
Yeniləyin
- Thelia Thelia3.1.2, 3.2.1 və ya daha yeni versiya
Yamaqlar
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| Thelia Thelia | v < 3.1.2, 3.2.0 ≤ v < 3.2.1 | 3.1.2, 3.2.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Intelligence 360 paketində
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.