中 5.9

Thelia before 3.2.0 contains a cross-site request forgery vulnerability in the back office that...

CVE-2026-120206 SecPulse初出 2:25

影響パッケージ

種類	パッケージ	影響を受ける版	修正版
Thelia	Thelia	3.2.0 未満	3.2.0
Thelia	Thelia Core	3.2.0 未満	3.2.0
Thelia	Thelia Back-office Default Twig Template	1.2.0 未満	1.2.0
Thelia	Thelia Back-office Default Template	2.6.2 以前	—
Thelia	Thelia Smarty Module	3.0.3 以前	—

原文の説明取得元が公開している説明をそのまま載せています (多くは英語)。

Thelia before 3.2.0 contains a cross-site request forgery vulnerability in the back office that allows attackers to forge administrative actions because per-session CSRF tokens leak via URL query strings. Attackers can reuse leaked tokens or target the unprotected setToggleVisibilityAction and updatePositionAction to make logged-in administrators delete, hide or reorder catalogue and configuration objects.

出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory

影響パッケージ

参照URL