CVE-2026-120205

Nome do Software Vulnerável e Versões Afetadas Thelia versões anteriores a 3.1.0

Descrição Um problema de cross-site scripting armazenado existe na função getSummary() da classe ForSomeCustomers. Atacantes não autenticados podem injetar scripts maliciosos por meio de nomes de clientes não escapados. Ao se registrarem com um payload de script como nome, o script é executado quando administradores visualizam cupons relacionados, permitindo potencialmente o roubo de tokens CSRF (Cross-Site Request Forgery)—uma técnica usada para personificar um usuário—para criar contas de administrador não autorizadas.

Recomendações Atualize para a versão 3.1.0 ou posterior.