전자상거래 플랫폼인 Thelia의 2.6.0 및 2.6.1 버전에는 수많은 보안 결함이 존재합니다. 이러한 취약점은 파일 관리, 템플릿 작성, 모듈 설치, 관리 기능을 아우릅니다. 취약점은 원격 코드 실행, 서버 측 템플릿 인주, 크로스 사이트 스크립팅으로 이어질 수 있습니다. 일부 문제는 관리자 사용자가 악성 파일을 업로드하여 서버에서 코드 실행을 가능하게 합니다. 스토어 배너 업로드 기능도 검증이 부족해 이미지 위장을 한 PHP 파일을 업로드할 수 있습니다. 주소 생성 워크플로우에는 오픈 리다이렉션 취약점이 존재하여 공격자가 사용자를 악성 사이트로 리디렉션할 수 있습니다. 관리자 인터페이스에 저장된 XSS 취약점은 영향을 받은 페이지가 조회될 때 JavaScript 실행을 허용합니다. 사용자 이름 열거는 유효하지 않은 자격 증명에 대한 오류 응답 차이로 인해 가능합니다. Smarty 템플릿에서는 이중 따옴표를 피하지 못해 반영된 XSS가 발생할 수 있습니다. 이메일 템플릿은 위험한 PHP 함수에 대한 적절한 제한이 없어 임의의 명령 실행을 가능하게 합니다. 검증 없이 모듈을 설치하면 악성 PHP 코드가 포함될 수 있습니다. 버전 2.6.1은 번역 편집기에 경로 탐색 및 PHP 코드 주입 취약점이 있어 원격 코드 실행이 가능해졌습니다. Smarty 템플릿 처리의 절대 경로 탐색은 서버 측 템플릿 주입과 RCE를 가능하게 합니다. 현재 패치는 없으므로, 사용자는 관리자 접근 권한을 제한하고 파일 업로드 기능을 비활성화해야 합니다.