CVE-2026-120205 XSS almacenado en Thelia mediante el nombre de cliente en condiciones de cupón
Thelia anterior a 3.1.0 contiene una vulnerabilidad de cross-site scripting almacenado en ForSomeCustomers::getSummary() que permite a atacantes no autenticados inyectar scripts mediante nombres de cliente sin escapar. Un atacante puede registrarse con un payload de script como nombre que se ejecuta cuando los administradores ven los cupones relacionados, robando tokens CSRF para crear cuentas de administrador.
CVSS 3.1
- CVSS 4.07.4 · alta
- Probabilidad de explotación · EPSS del 09/110,3 % · percentil 18
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Thelia
hasta antes de 3.1.0
Thelia Thelia Core
hasta antes de 3.1.0
Qué hacer
- Verificá si usás Thelia y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 8.0 ALTA
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:N
- Vector de ataqueRed
- Complejidad del ataqueAlta
- Privilegios requeridosNinguno
- Interacción del usuarioRequerida
- AlcanceCambiado
- ConfidencialidadAlta
- IntegridadAlta
- DisponibilidadNinguna
CVSS 4.0 · 7.4 ALTA
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:A/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Requisitos del ataquePresentes
- Privilegios requeridosNinguno
- Interacción del usuarioActiva
- Confidencialidad (sistema vulnerable)Alta
- Integridad (sistema vulnerable)Alta
- Disponibilidad (sistema vulnerable)Ninguna
- Confidencialidad (sistemas posteriores)Ninguna
- Integridad (sistemas posteriores)Ninguna
- Disponibilidad (sistemas posteriores)Ninguna
Descripción original
Thelia before 3.1.0 contains a stored cross-site scripting vulnerability in ForSomeCustomers::getSummary() that allows unauthenticated attackers to inject scripts via unescaped customer names. Attackers can register with a script payload as their name that executes when administrators view related coupons, stealing CSRF tokens to create administrator accounts.
Referencias (5)
- github.com/thelia/thelia/security/advisories/GHSA-r63g-6wfg-v5v9
- github.com/thelia/thelia/commit/c90d59375089a0833a56703c6f9f9ddea17bddc9
- github.com/thelia/thelia/releases/tag/3.1.0
- github.com/thelia/thelia/blob/3.0.0/core/lib/Thelia/Condition/Implementation/ForSomeCusto…
- www.vulncheck.com/advisories/thelia-before-3.1.0-stored-xss-via-coupon-condition-customer…
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.