Theliaというeコマースプラットフォームのバージョン2.6.0および2.6.1には、多数のセキュリティ欠陥が含まれています。これらの脆弱性はファイル管理、テンプレート作成、モジュールインストール、管理機能に及びます。エクスプロイトはリモートコード実行、サーバー側テンプレート注入、クロスサイトスクリプトにつながることがあります。一部の問題では管理者ユーザーが悪意のあるファイルをアップロードし、サーバー上でコード実行を可能にします。ストアバナーアップロード機能も検証が不十分で、画像に偽装したPHPファイルがアップロードされることがあります。アドレス作成ワークフローにはオープンリダイレクトの脆弱性があり、攻撃者がユーザーを悪意のあるサイトにリダイレクトする可能性があります。管理インターフェースに保存されたXSSの脆弱性により、影響を受けたページが閲覧された際にJavaScript実行が可能になります。無効な認証情報に対するエラー応答の違いにより、ユーザー名列挙が可能です。Smartyテンプレートでは、二重引用符を回避できなかったことでXSSが反映されることがあります。メールテンプレートには危険なPHP機能の適切な制限がなく、任意のコマンド実行を可能にしています。検証なしのモジュールインストールにより悪意のあるPHPコードが含まれる可能性があります。バージョン2.6.1では、翻訳エディタにパストラバーサルおよびPHPコード注入の脆弱性があり、リモートコード実行が可能になっています。Smartyテンプレート処理における絶対パストラバーサルにより、サーバー側のテンプレート注入とRCEが可能になります。現在パッチは存在しないため、ユーザーは管理者アクセスを制限し、ファイルアップロード機能を無効にしてください。