CVE-2026-120206 CSRF en el back-office de Thelia mediante tokens en URL y acciones sin protección
Thelia anterior a 3.2.0 contiene una vulnerabilidad de falsificación de petición (CSRF) en el back-office que permite falsificar acciones administrativas porque los tokens CSRF por sesión se filtran en la cadena de consulta de la URL. Se pueden reutilizar tokens filtrados o apuntar a setToggleVisibilityAction y updatePositionAction sin protección para que administradores autenticados borren, oculten o reordenen objetos de catálogo y configuración.
CVSS 3.1
- CVSS 4.05.9 · media
- Probabilidad de explotación · EPSS del 09/110,1 % · percentil 4
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Thelia
hasta antes de 3.2.0
Thelia Thelia Core
hasta antes de 3.2.0
Thelia Thelia Back-office Default Twig Template
hasta antes de 1.2.0
Thelia Thelia Back-office Default Template
hasta 2.6.2
Thelia Thelia Smarty Module
hasta 3.0.3
Qué hacer
- Verificá si usás Thelia y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 5.9 MEDIA
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:H/A:L
- Vector de ataqueRed
- Complejidad del ataqueAlta
- Privilegios requeridosNinguno
- Interacción del usuarioRequerida
- AlcanceSin cambio
- ConfidencialidadNinguna
- IntegridadAlta
- DisponibilidadBaja
CVSS 4.0 · 5.9 MEDIA
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:A/VC:N/VI:H/VA:L/SC:N/SI:N/SA:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Requisitos del ataquePresentes
- Privilegios requeridosNinguno
- Interacción del usuarioActiva
- Confidencialidad (sistema vulnerable)Ninguna
- Integridad (sistema vulnerable)Alta
- Disponibilidad (sistema vulnerable)Baja
- Confidencialidad (sistemas posteriores)Ninguna
- Integridad (sistemas posteriores)Ninguna
- Disponibilidad (sistemas posteriores)Ninguna
Descripción original
Thelia before 3.2.0 contains a cross-site request forgery vulnerability in the back office that allows attackers to forge administrative actions because per-session CSRF tokens leak via URL query strings. Attackers can reuse leaked tokens or target the unprotected setToggleVisibilityAction and updatePositionAction to make logged-in administrators delete, hide or reorder catalogue and configuration objects.
Referencias (6)
- github.com/thelia/thelia/security/advisories/GHSA-cfvv-2jvw-x2hp
- github.com/thelia/thelia/commit/55a7156e552d0b8145309b10175d13ecc1187433
- github.com/thelia-templates/default-twig/commit/a9647682572de056ba258a2d4d53e42f5b591b84
- github.com/thelia/thelia/releases/tag/3.2.0
- github.com/thelia/thelia/blob/3.1.6/core/lib/Thelia/Controller/Admin/AbstractCrudControll…
- www.vulncheck.com/advisories/thelia-before-3.2.0-back-office-csrf-via-url-token-and-unpro…
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.