جزئیات آسیب‌پذیری

CVE-2026-120205

Thelia TheliaThelia Core

Thelia before 3.1.0 Stored XSS via Coupon Condition Customer Name

CVSS 4.0

7.4بالا

نمای کلی اکسپلویت‌های عمومی اخبار مرتبط خط زمانی

خلاصه‌ی فارسی

خلاصه‌ی فارسی برای این آسیب‌پذیری هنوز تهیه نشده است.

شرح رسمی (انگلیسی)

Thelia before 3.1.0 contains a stored cross-site scripting vulnerability in ForSomeCustomers::getSummary() that allows unauthenticated attackers to inject scripts via unescaped customer names. Attackers can register with a script payload as their name that executes when administrators view related coupons, stealing CSRF tokens to create administrator accounts.

امتیازهای CVSS

امتیاز	نسخه	منبع	بردار
7.4بالا	4.0	CVEProject cvelistV5 (CNA) (VulnCheck)	`CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:A/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N`
8.0بالا	3.1	CVEProject cvelistV5 (CNA) (VulnCheck)	`CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:N`

محصولات آسیب‌پذیر

فروشنده	محصول	نسخه‌ها	منبع
Thelia	Thelia	v < 3.1.0	CVEProject cvelistV5 (CNA)
Thelia	Thelia Core	v < 3.1.0	CVEProject cvelistV5 (CNA)

منابع و راهنماها

https://github.com/thelia/thelia/commit/c90d59375089a0833a56703c6f9f9ddea17bddc9 patch
https://github.com/thelia/thelia/releases/tag/3.1.0 release-notes
https://github.com/thelia/thelia/blob/3.0.0/core/lib/Thelia/Condition/Implementation/ForSomeCustomers.php#L119 technical-description
https://www.vulncheck.com/advisories/thelia-before-3.1.0-stored-xss-via-coupon-condition-customer-name third-party-advisory
https://github.com/thelia/thelia/security/advisories/GHSA-r63g-6wfg-v5v9 vendor-advisory

اطلاعات

تاریخ انتشار: ۱۴۰۵/۰۸/۰۹
آخرین به‌روزرسانی: ۱۴۰۵/۰۸/۱۲
وضعیت: PUBLISHED
صادرکننده (CNA): VulnCheck
اولویت کلون: به‌زودی

پیش‌بینی بهره‌برداری (EPSS)

۰٫۲۶٪

احتمال بهره‌برداری در ۳۰ روز

۱۸٫۱٪

صدک (نسبت به همه‌ی CVEها)

ارزیابی SSVC (CISA)

Automatable: no
Exploitation: poc
Technical Impact: total

ضعف‌ها (CWE)

CWE-79
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting')