CVE-2026-107248
Beschrijving NL
De backoffice-e-mail/berichten-functie van Thelia 3.0.0 bevat een server-side template injection (SstI) -fout waarmee elke geverifieerde gebruiker met de "Berichten" -machtiging unsandboxed Twig-sjablonen kan leveren, die vervolgens worden gecompileerd en uitgevoerd als ruwe code. Door de inhoud van het bericht te wijzigen, kan een aanvaller willekeurige PHP-functies uitvoeren, gevoelige bestanden lezen en mogelijk naar het bestandssysteem schrijven, wat leidt tot volledige compromittering van de applicatie en de onderliggende host. Deze kwetsbaarheid is gepatcht in thelia/twig-engine-module 1.0.9.
Origineel (Engels) tonen
Thelia 3.0.0's back-office Email/Messages feature contains a server‑side template injection (SSTI) flaw that allows any authenticated user with the “Messages” permission to supply unsandboxed Twig templates, which are then compiled and executed as raw code. By modifying Message content, an attacker can execute arbitrary PHP functions, read sensitive files, and potentially write to the filesystem, leading to full compromise of the application and underlying host. This vulnerability has been patched in thelia/twig-engine-module 1.0.9.