CVE-2026-120249 CSRF en las rutas de combinaciones de productos del back-office de Thelia
Thelia Back-office Default Twig Template anterior a 1.1.1 contiene una vulnerabilidad de falsificación de petición (CSRF) en las rutas /admin/product/combinations/update y /admin/product/default-price/update, que aceptan solicitudes GET sin verificación de token anti-CSRF. Un atacante puede inducir a un administrador autenticado a seguir un enlace manipulado para reescribir precios, stock, peso, EAN y flags de oferta de combinaciones de productos, poniendo a cero los precios omitidos.
CVSS 3.1
- CVSS 4.06.9 · media
- Probabilidad de explotación · EPSS del 09/110,1 % · percentil 3
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Thelia Thelia Back-office Default Twig Template
hasta antes de 1.1.1
Qué hacer
- Verificá si usás Thelia Back-office Default Twig Template y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 6.5 MEDIA
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioRequerida
- AlcanceSin cambio
- ConfidencialidadNinguna
- IntegridadAlta
- DisponibilidadNinguna
CVSS 4.0 · 6.9 MEDIA
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:A/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Requisitos del ataqueNinguno
- Privilegios requeridosNinguno
- Interacción del usuarioActiva
- Confidencialidad (sistema vulnerable)Ninguna
- Integridad (sistema vulnerable)Alta
- Disponibilidad (sistema vulnerable)Ninguna
- Confidencialidad (sistemas posteriores)Ninguna
- Integridad (sistemas posteriores)Ninguna
- Disponibilidad (sistemas posteriores)Ninguna
Descripción original
Thelia Back-office Default Twig Template before 1.1.1 contains a cross-site request forgery vulnerability in the /admin/product/combinations/update and /admin/product/default-price/update routes, which accept GET requests without anti-CSRF token checks. Attackers can lure a logged-in administrator into following a crafted link to rewrite product combination prices, stock, weight, EAN and sale flags, zeroing omitted prices.
Referencias (5)
- github.com/thelia/thelia/security/advisories/GHSA-j2c3-9c4q-c2ch
- github.com/thelia-templates/default-twig/commit/aaf540ca552dbc4c63dca77620af4b7936d22e8f
- github.com/thelia-templates/default-twig/commit/51b014b06a5b4ee45f15093aa58a3064d4412bd3
- github.com/thelia-templates/default-twig/blob/6473c164bd86348f4c7d0ef6f194f1ff3d267902/sr…
- www.vulncheck.com/advisories/thelia-back-office-default-twig-template-before-1.1.1-csrf-v…
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.