CVE-2026-120248

Nome do Software Vulnerável e Versões Afetadas Thelia versões anteriores a 3.1.1

Description Um problema de cross-site scripting armazenado existe onde administradores do back-office autenticados com permissões de atualização de loja podem injetar scripts. Isso ocorre ao fazer o upload de imagens SVG não sanitizadas através das variáveis logo file ou banner file. Os scripts maliciosos, usando um payload onload, são servidos pelo endpoint '/admin/store-media/logo' ou pelo diretório 'public cache/images/store/', permitindo a execução contra visitantes e administradores com privilégios mais elevados.

Recommendations Atualize para a versão 3.1.1 ou posterior. Restrinja o upload de arquivos SVG para as variáveis logo file e banner file até que a atualização seja aplicada.