PT-2026-134690
CVE-2026-120249
·
تاريخ النشر
2026-11-01
·
تاريخ التحديث
2026-11-01
الوصف من
CVSS 4.0
6.9
متوسطةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:A/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
Thelia Back-office Default Twig Template الإصدارات السابقة لـ 1.1.1
الوصف
توجد ثغرة تزوير الطلبات عبر المواقع حيث تقبل نقاط النهاية '/admin/product/combinations/update' و '/admin/product/default-price/update' طلبات GET دون التحقق من رموز anti-CSRF. يتيح ذلك للمهاجم خداع مسؤول نظام مسجل الدخول للنقر على رابط مفخخ لتعديل تفاصيل تركيبات المنتجات، بما في ذلك الأسعار والمخزون والوزن و EAN وعلامات البيع، مما قد يؤدي إلى تصفير الأسعار المحذوفة.
التوصيات
التحديث إلى الإصدار 1.1.1 أو إصدار أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾