جزئیات آسیب‌پذیری
CVE-2026-120207
Thelia Page Module
Thelia Page Module before 2.0.4 CSRF via Page Tag, Document and Image Delete Routes
CVSS 4.0
7.0بالا
شرح رسمی (انگلیسی)
Thelia Page Module before 2.0.4 contains a cross-site request forgery vulnerability that allows remote attackers to delete page tags, documents and images by abusing back-office delete routes lacking CSRF tokens and permission checks. Attackers can lure a logged-in administrator into navigating to crafted GET requests that walk sequential ids, removing TheliaLibrary images, their files and variants across pages, products and categories.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 7.0بالا | 4.0 | CVEProject cvelistV5 (CNA) (VulnCheck) | CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:A/VC:N/VI:H/VA:L/SC:N/SI:N/SA:N |
| 7.1بالا | 3.1 | CVEProject cvelistV5 (CNA) (VulnCheck) | CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:L |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| Thelia | Thelia Page Module | v < 2.0.4 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۴- https://github.com/thelia-modules/Page/commit/e7206a7c35c945cc8fe529fe95a9b30402f0fb60 patch
- https://github.com/thelia-modules/Page/blob/2.0.3/Controller/Admin/PageImageController.php#L117 technical-description
- https://www.vulncheck.com/advisories/thelia-page-module-before-2.0.4-csrf-via-page-tag-document-and-image-delete-routes third-party-advisory
- https://github.com/thelia/thelia/security/advisories/GHSA-whqr-4v2h-6jhc vendor-advisorythird-party-advisory
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.
اطلاعات
- تاریخ انتشار
- ۱۴۰۵/۰۸/۰۹
- آخرین به‌روزرسانی
- ۱۴۰۵/۰۸/۱۵
- وضعیت
- منتشرشده
- صادرکننده (CNA)
- VulnCheck
پیش‌بینی بهره‌برداری (EPSS)
۰٫۲٪
احتمال بهره‌برداری در ۳۰ روز
۱۰٫۳٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- قابل خودکارسازی
- خیر
- وضعیت بهره‌برداری
- اثبات مفهوم
- اثر فنی
- جزئی
ضعف‌ها (CWE)
- CWE-352Cross-Site Request Forgery (CSRF)