PT-2026-134690

CVE-2026-120249

Publicado

2026-11-01

Atualizado

2026-11-01

Descrição por

CVSS 4.0

6.9

Média

MétricasAV:N/AC:L/AT:N/PR:N/UI:A/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Thelia Back-office Default Twig Template versões anteriores a 1.1.1

Descrição Existe um problema de falsificação de solicitação cross-site onde os endpoints '/admin/product/combinations/update' e '/admin/product/default-price/update' aceitam requisições GET sem verificar tokens anti-CSRF. Isso permite que um invasor engane um administrador autenticado para clicar em um link malicioso a fim de modificar detalhes de combinações de produtos, incluindo preços, estoque, peso, EAN e sinalizadores de venda, potencialmente zerando preços omitidos.

Recomendações Atualize para a versão 1.1.1 ou posterior.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

K08Uk0Vu

Pnn219

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-352: Cross-Site Request Forgery (CSRF)