CVE-2026-103522
Beschrijving NL
In Thelia v2.6.0 voert de functie voor het uploaden van winkelbanners onvoldoende validatie van bestandstypen uit die uitsluitend afhankelijk is van door de klant geleverde MIME-typen. Een aanvaller met beheerderstoegang kan een PHP-bestand uploaden vermomd als een afbeelding om validatie te omzeilen en externe code-uitvoering op de onderliggende server te bereiken.
Origineel (Engels) tonen
In Thelia v2.6.0, the store banner upload feature performs insufficient filetype validation that relies exclusively on client‑supplied MIME types. An attacker with administrative access can upload a PHP file disguised as an image to bypass validation and achieve remote code execution on the underlying server.