جزئیات آسیب‌پذیری
CVE-2026-120206
Thelia TheliaThelia Back-office Default TemplateThelia Back-office Default Twig TemplateThelia CoreThelia Smarty Module
Thelia before 3.2.0 Back-Office CSRF via URL Token and Unprotected Actions
CVSS 4.0
5.9متوسط
نمای کلی
اکسپلویت‌های عمومی
اخبار مرتبط
خط زمانی
خلاصه‌ی فارسی
خلاصه‌ی فارسی برای این آسیب‌پذیری هنوز تهیه نشده است.
شرح رسمی (انگلیسی)
Thelia before 3.2.0 contains a cross-site request forgery vulnerability in the back office that allows attackers to forge administrative actions because per-session CSRF tokens leak via URL query strings. Attackers can reuse leaked tokens or target the unprotected setToggleVisibilityAction and updatePositionAction to make logged-in administrators delete, hide or reorder catalogue and configuration objects.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 5.9متوسط | 4.0 | CVEProject cvelistV5 (CNA) (VulnCheck) | CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:A/VC:N/VI:H/VA:L/SC:N/SI:N/SA:N |
| 5.9متوسط | 3.1 | CVEProject cvelistV5 (CNA) (VulnCheck) | CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:H/A:L |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| Thelia | Thelia | v < 3.2.0 | CVEProject cvelistV5 (CNA) |
| Thelia | Thelia Back-office Default Template | v ≤ 2.6.2 | CVEProject cvelistV5 (CNA) |
| Thelia | Thelia Back-office Default Twig Template | v < 1.2.0 | CVEProject cvelistV5 (CNA) |
| Thelia | Thelia Core | v < 3.2.0 | CVEProject cvelistV5 (CNA) |
| Thelia | Thelia Smarty Module | v ≤ 3.0.3 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۶- https://github.com/thelia/thelia/security/advisories/GHSA-cfvv-2jvw-x2hp vendor-advisory
- https://github.com/thelia/thelia/commit/55a7156e552d0b8145309b10175d13ecc1187433 patch
- https://github.com/thelia-templates/default-twig/commit/a9647682572de056ba258a2d4d53e42f5b591b84 patch
- https://github.com/thelia/thelia/releases/tag/3.2.0 release-notes
- https://github.com/thelia/thelia/blob/3.1.6/core/lib/Thelia/Controller/Admin/AbstractCrudController.php#L466 technical-description
- https://www.vulncheck.com/advisories/thelia-before-3.2.0-back-office-csrf-via-url-token-and-unprotected-actions third-party-advisory
اطلاعات
- تاریخ انتشار
- ۱۴۰۵/۰۸/۰۹
- آخرین به‌روزرسانی
- ۱۴۰۵/۰۸/۱۲
- وضعیت
- PUBLISHED
- صادرکننده (CNA)
- VulnCheck
- اولویت کلون
- به‌زودی
پیش‌بینی بهره‌برداری (EPSS)
۰٫۱۵٪
احتمال بهره‌برداری در ۳۰ روز
۴٫۱٪
صدک (نسبت به همه‌ی CVEها)
ضعف‌ها (CWE)
- CWE-352Cross-Site Request Forgery (CSRF)