Thelia 2.6.0 和 2.6.1 版本（电子商务平台）存在诸多安全漏洞。这些漏洞涵盖文件管理、模板、模块安装和管理功能。利用可能导致远程代码执行、服务器端模板注入和跨站脚本。部分问题允许管理员上传恶意文件，从而在服务器上执行代码。商店横幅上传功能验证不足，允许伪装成图片的 PHP 文件上传。地址创建工作流中存在开放重定向漏洞，允许攻击者将用户重定向到恶意网站。管理界面中存储的 XSS 漏洞允许在访问受影响页面时执行 JavaScript。由于对无效凭证的错误响应不同，用户名枚举成为可能。在 Smarty 模板中，反射 XSS 可能因无法逃脱双引号而发生。电子邮件模板缺乏对危险PHP功能的适当限制，导致任意命令执行。无验证的模块安装允许包含恶意PHP代码。2.6.1版本的翻译编辑器存在路径遍历和PHP代码注入漏洞，导致远程代码执行。Smarty模板处理中的绝对路径遍历支持服务器端模板注入和RCE。目前尚无补丁可用，用户应限制管理员访问并禁用文件上传功能。