CVE-2026-120249mediumCWE-352

CVE-2026-120249: falha de média gravidade em Thelia Back-office Default Twig Template

Thelia Back-office Default Twig Template before 1.1.1 CSRF via Product Combination Routes

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar Thelia Back-office Default Twig Template

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

13Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 6.9epss 0.1%
Thelia Back-office Default Twig Template before 1.1.1 contains a cross-site request forgery vulnerability in the /admin/product/combinations/update and /admin/product/default-price/update routes, which accept GET requests without anti-CSRF token checks. Attackers can lure a logged-in administrator into following a crafted link to rewrite product combination prices, stock, weight, EAN and sale flags, zeroing omitted prices.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:A/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N
Produtos afetados
Thelia · Thelia Back-office Default Twig Template
CVEs relacionadas — Thelia Back-office Default Twig Template

No mesmo produto, das mais perigosas para as menos.

CVE-2026-120248MEDIUMThelia before 3.1.1 Stored XSS via SVG Store Logo and Banner UploadsEPSS 0.2%CVE-2026-120206MEDIUMThelia before 3.2.0 Back-Office CSRF via URL Token and Unprotected ActionsEPSS 0.1%