Версии 2.6.0 и 2.6.1 Thelia, платформы электронной коммерции, содержат множество уязвимостей в безопасности. Эти уязвимости охватывают управление файлами, шаблонирование, установку модулей и административные функции. Эксплойты могут привести к удаленному выполнению кода, серверной инъекции шаблонов и кросс-сайтовому скриптингу. Некоторые проблемы позволяют администраторам загружать вредоносные файлы, обеспечивая выполнение кода на сервере. Функция загрузки баннеров в хранилище также недостаточно валидирована, позволяя загружать PHP-файлы, замаскированные под изображения. В процессе создания адресов существует уязвимость открытого перенаправления, позволяющая злоумышленникам перенаправлять пользователей на вредоносные сайты. Хранящиеся XSS-уязвимости в административном интерфейсе позволяют выполнять JavaScript при просмотре затронутых страниц. Перечисление имён пользователя возможно из-за различных ответов на ошибки при недействительных учетных данных. Отражённый XSS может возникать в шаблонах Smarty, если не уходит от двойных кавычек. Шаблоны электронной почты не имеют должного ограничения на опасные функции PHP, что позволяет выполнять произвольные команды. Установка модуля без валидации позволяет включать вредоносный PHP-код. Версия 2.6.1 имеет уязвимости при обходе пути и инъекции кода PHP в редакторе перевода, что приводит к удалённому выполнению кода. Абсолютное обхождение пути в обработке шаблонов Smarty позволяет внедрять шаблоны на серверной стороне и внедрять RCE. В настоящее время патча нет, поэтому пользователям следует ограничить административный доступ и отключить функции загрузки файлов.