Mehrere Schwachstellen in Thelia 2.6.0 und 2.6.1

Was passiert ist

VU#162329: Mehrere Schwachstellen in Thelia 2.6.0 und 2.6.1, veröffentlicht als CERT/CC Vulnerability Notes. Überblick: Die Thelia-Versionen 2.6.0 und 2.6.1 enthalten mehrere Schwachstellen in den Bereichen Dateiverwaltung, Smarty-Templating, Modulinstallation und administrativen Arbeitsabläufen. Eine erfolgreiche Ausnutzung dieser Probleme könnte Remote Code Execution (RCE), Server-Side Template Injection (SSTI), gespeichertes und reflektiertes Cross-Site Scripting (XSS), nicht autorisierte URL-Weiterleitungen und weitere Risiken ermöglichen, die sowohl serverseitige als auch clientseitige Angriffsflächen offenlegen.

Beschreibung: Thelia ist eine Open-Source-E-Commerce-Plattform, die Händlern anpassbare Online-Shops, Produktverwaltungs-Workflows und administrative Funktionen bietet. Sie nutzt die Template-Engine Smarty und gibt Administratoren weitreichende Kontrolle über Templates, Inhalte und Module. CVE-2026-103521 (die öffentliche Katalognummer für einen bestimmten Softwarefehler): In Thelia v2.6.0 blockiert der Endpunkt zum Hochladen von Dokumenten korrekt das Hochladen ausführbarer Dateitypen, der Endpunkt zum Aktualisieren von Dokumenten führt jedoch keine entsprechende Validierung durch.