PT-2026-134689
CVE-2026-120248
·
تاريخ النشر
2026-11-01
·
تاريخ التحديث
2026-11-01
الوصف من
CVSS 3.1
4.8
متوسطةالمقاييسAV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
Thelia الإصدارات السابقة لـ 3.1.1
Description
توجد ثغرة cross-site scripting مخزنة تتيح لمديري المكتب الخلفي المصرح لهم بصلاحيات تحديث المتجر حقن النصوص البرمجية. يحدث هذا من خلال تحميل صور SVG غير مصفاة عبر المتغيرات
logo file أو banner file. يتم تقديم النصوص البرمجية الخبيثة، باستخدام حمولة onload، من نقطة النهاية '/admin/store-media/logo' أو دليل 'public cache/images/store/'، مما يسمح بتنفيذها ضد الزوار والمديرين ذوي الصلاحيات الأعلى.Recommendations
التحديث إلى الإصدار 3.1.1 أو أحدث.
تقييد تحميل ملفات SVG للمتغيرات
logo file و banner file حتى يتم تطبيق التحديث.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾