Saltar al contenido
DUPIN
ALERTAS · EN VIVO
Contacto

VULNERABILIDADDetectada 19 OCT · 12:35

CVE-2026-112285 Evasión del límite de uso de cupones mediante pedidos con pago diferido en Thelia anterior a 3.1.5 y 3.2.4

Thelia anterior a 3.1.5 y 3.2.x anterior a 3.2.4 contiene una vulnerabilidad de lógica de negocio que permite a clientes autenticados evadir los límites de uso de cupones porque el uso se cuenta solo cuando los pedidos pasan a pagados. Los atacantes pueden realizar varios pedidos con pago diferido mientras quede uso disponible, o cancelar pedidos pagados para inflar max_usage y obtener descuentos ilimitados.

4.3MEDIA

CVSS 3.1

  • CVSS 4.05.3 · media
  • Probabilidad de explotación0,3 %
  • Explotada activamenteNo confirmada
  • Exploit públicoNo conocido

Afectados

  • Thelia

    desde 2.6.2 hasta antes de 3.1.5desde 3.2.0 hasta antes de 3.2.4

Qué hacer

  1. Verificá si usás Thelia y en qué versión.
  2. Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
  3. Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 3.1 · 4.3 MEDIA

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N

  • Vector de ataqueRed
  • Complejidad del ataqueBaja
  • Privilegios requeridosBajos
  • Interacción del usuarioNinguna
  • AlcanceSin cambio
  • ConfidencialidadNinguna
  • IntegridadBaja
  • DisponibilidadNinguna

CVSS 4.0 · 5.3 MEDIA

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N

  • Vector de ataqueRed
  • Complejidad del ataqueBaja
  • Requisitos del ataqueNinguno
  • Privilegios requeridosBajos
  • Interacción del usuarioNinguna
  • Confidencialidad (sistema vulnerable)Ninguna
  • Integridad (sistema vulnerable)Baja
  • Disponibilidad (sistema vulnerable)Ninguna
  • Confidencialidad (sistemas posteriores)Ninguna
  • Integridad (sistemas posteriores)Ninguna
  • Disponibilidad (sistemas posteriores)Ninguna

Descripción original

Thelia before 3.1.5 and 3.2.x before 3.2.4 contains a business logic vulnerability that allows authenticated customers to bypass coupon usage limits because usage is counted only when orders become paid. Attackers can place multiple pay-later orders while a usage remains, or cancel paid orders to inflate max_usage, gaining unlimited discounts.

Referencias (9)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.