CVE.org (no NVD analysis yet)· CNA certcc

CVE-2026-103521: In Thelia v2.6.0, the document upload endpoint properly blocks the upload of executable file types, but the document update endpoint does…

ВысокаяCVSS 7.2 · v3.1—Эксплойта нет Исправление не зафиксировано

Оценка Noroxi

Приоритет: Наблюдать (оценка срочности 28/100)

В отслеживаемых источниках (CISA KEV, Exploit-DB, Metasploit, Nuclei, GitHub) нет публичного эксплойта или записей об эксплуатации.
Вероятность эксплуатации в ближайшие 30 дней: 0,60% (FIRST EPSS).
Может быть вызвана любым, у кого есть доступ через интернет. Требуются права администратора. Действия пользователя не требуются. Особые условия не требуются; воспроизводится стабильно.
Согласно записи, исправленной версии пока нет.

Пока низкий приоритет. Обновитесь, когда выйдет исправление; следите за бюллетенем производителя.

Формируется автоматически по данным записи: CVSS (NVD и CNA), CISA KEV и SSVC, FIRST EPSS, источники эксплойтов, исправленные версии. Как мы считаем

Первоисточники: NVD · CVE.org · FIRST EPSS

In Thelia v2.6.0, the document upload endpoint properly blocks the upload of executable file types, but the document update endpoint does not perform the same validation. An attacker with administrative Thelia permissions can exploit this vulnerability to upload arbitrary executable files, such as malicious PHP scripts, to achieve remote code execution on the underlying server.

EUVD-2026-97474

Опубликовано: 12 окт. 2026 г.
Обновлено: 13 окт. 2026 г.
EPSS: 0,6 % · 49-й процентиль
CWE: CWE-434

Инструменты для отчёта

JSON

Оценка срочности

Наблюдать

Пока низкий приоритет.

CVSS: 28 / 40 · 7.2 / 10
CISA KEV: 0 / 30 · Нет в списке
EPSS: 0 / 30 · 0,6 %

Решение CISA SSVC

Эксплуатация: нет
Автоматизируемо: нет
Техническое влияние: полное

Vulnrichment: входные данные дерева решений CISA.

Узнайте, когда запись изменится

Нет в KEV: эксплуатация в реальных атаках не зафиксирована
Публичного эксплойта нет
Исправленной версии пока нет

Если что-то из этого изменится, сообщим в ежедневной сводке.

Затронута ли ваша версия? Проверьте

Анализ Noroxi

Что это значит для вашей инфраструктуры?

Оценка выше формируется автоматически по данным записи и не знает вашей среды. Наша команда проверит на ваших системах, действительно ли уязвимость эксплуатируема и какой меры достаточно.

Мы используем этот продукт, нужна помощь

Затронутые системы

Затронута ли ваша версия?

Выберите продукт и введите свою версию. Она сравнивается с диапазонами этой записи прямо в браузере и никуда не отправляется.

—

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (certcc). Не зависят от анализа CPE в NVD и обычно опережают его.

Thelia Thelia
- до 2.6.0 включительнозатронута

Тот же продукт

thelia: все записи

Другие записи с наивысшей оценкой для того же основного продукта.

CVE-2026-107248Thelia 3.0.0's back-office Email/Messages feature contains a server‑side template injection (SSTI) flaw that allows any authenticated user…
35Наблюдать
CVE-2026-103535Thelia v2.6.1 contains path traversal and PHP code injection vulnerabilities in its translation editor that can be chained to achieve…
35Наблюдать
CVE-2026-109397Thelia before 3.1.2 and 3.2.x before 3.2.1 File Upload RCE via Filename Trailing Space
34Наблюдать

Опубликованы до и после этой записи в том же продукте

Позже →CVE-2026-10352212 окт. 2026 г. · In Thelia v2.6.0, the store banner upload feature performs insufficient filetype validation that relies exclusively on client‑supplied MIME…
28Наблюдать
Позже →CVE-2026-10352312 окт. 2026 г. · Thelia v2.6.0 contains an open redirect vulnerability in its address creation workflow.
24Наблюдать
Позже →CVE-2026-10352412 окт. 2026 г. · Thelia v2.6.0 is vulnerable to multiple stored XSS vulnerabilities within the administrative interface.
19Наблюдать

Исправление

На какую версию обновиться

Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.

Для этой записи не зафиксирована версия с исправлением. Смотрите бюллетени вендора в источниках.

Статус эксплойта

Публичный эксплойт неизвестен

Публичный эксплойт пока не обнаружен. Это не значит, что вы в безопасности, лишь что порог чуть выше.

Контекст для исследователя

Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.

Хронология

От публикации до сегодня: proof of concept, модуль Metasploit, CISA KEV и запись об исправлении. Даты — как сообщают источники.

Кроме публикации датированных событий нет.

EPSS за 120 дней

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Кандидаты в варианты

Тот же продукт, тот же класс уязвимости, в пределах 18 месяцев. Если патч не закрыл первопричину, родственная ошибка здесь.

CVE-2026-109397с разницей 0 дн.Thelia before 3.1.2 and 3.2.x before 3.2.1 File Upload RCE via Filename Trailing Space
34Наблюдать
CVE-2026-103522с разницей 0 дн.In Thelia v2.6.0, the store banner upload feature performs insufficient filetype validation that relies exclusively on client‑supplied MIME…
28Наблюдать
CVE-2026-103529с разницей 0 дн.Thelia v2.6.0 permits authenticated administrators to upload and install modules via the ZIP upload function without validating or…
21Наблюдать