جزئیات آسیب‌پذیری
CVE-2026-120207
Thelia Page Module
Thelia Page Module before 2.0.4 CSRF via Page Tag, Document and Image Delete Routes
CVSS 4.0
7.0بالا
نمای کلی
اکسپلویت‌های عمومی
اخبار مرتبط
خط زمانی
خلاصه‌ی فارسی
خلاصه‌ی فارسی برای این آسیب‌پذیری هنوز تهیه نشده است.
شرح رسمی (انگلیسی)
Thelia Page Module before 2.0.4 contains a cross-site request forgery vulnerability that allows remote attackers to delete page tags, documents and images by abusing back-office delete routes lacking CSRF tokens and permission checks. Attackers can lure a logged-in administrator into navigating to crafted GET requests that walk sequential ids, removing TheliaLibrary images, their files and variants across pages, products and categories.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 7.0بالا | 4.0 | CVEProject cvelistV5 (CNA) (VulnCheck) | CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:A/VC:N/VI:H/VA:L/SC:N/SI:N/SA:N |
| 7.1بالا | 3.1 | CVEProject cvelistV5 (CNA) (VulnCheck) | CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:L |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| Thelia | Thelia Page Module | v < 2.0.4 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۴- https://github.com/thelia/thelia/security/advisories/GHSA-whqr-4v2h-6jhc vendor-advisorythird-party-advisory
- https://github.com/thelia-modules/Page/commit/e7206a7c35c945cc8fe529fe95a9b30402f0fb60 patch
- https://github.com/thelia-modules/Page/blob/2.0.3/Controller/Admin/PageImageController.php#L117 technical-description
- https://www.vulncheck.com/advisories/thelia-page-module-before-2.0.4-csrf-via-page-tag-document-and-image-delete-routes third-party-advisory
اطلاعات
- تاریخ انتشار
- ۱۴۰۵/۰۸/۰۹
- آخرین به‌روزرسانی
- ۱۴۰۵/۰۸/۱۲
- وضعیت
- PUBLISHED
- صادرکننده (CNA)
- VulnCheck
- اولویت کلون
- به‌زودی
پیش‌بینی بهره‌برداری (EPSS)
۰٫۲٪
احتمال بهره‌برداری در ۳۰ روز
۱۰٫۳٪
صدک (نسبت به همه‌ی CVEها)
ضعف‌ها (CWE)
- CWE-352Cross-Site Request Forgery (CSRF)