Thelia Page Moduleに、管理者を装った削除要求で画像などを消される脆弱性
Summary
Thelia Page Moduleの2.0.4より前のバージョンには、CSRF（クロスサイトリクエストフォージェリ）の脆弱性が見つかりました。ログイン中の管理者が細工されたリンクを開くと、ページタグ・文書・画像が削除されるおそれがあります。修正版の2.0.4が公開されていますので、アップデートしてください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
Thelia Page Moduleの2.0.4より前のバージョンには、CSRF（クロスサイトリクエストフォージェリ）の脆弱性が見つかりました。ログイン中の管理者が細工されたリンクを開くと、ページタグ・文書・画像が削除されるおそれがあります。修正版の2.0.4が公開されていますので、アップデートしてください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| Thelia | Thelia Page Module |
< 2.0.4 |
2.0.4 |
Original description The description as published by the source.
Thelia Page Module before 2.0.4 contains a cross-site request forgery vulnerability that allows remote attackers to delete page tags, documents and images by abusing back-office delete routes lacking CSRF tokens and permission checks. Attackers can lure a logged-in administrator into navigating to crafted GET requests that walk sequential ids, removing TheliaLibrary images, their files and variants across pages, products and categories.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web github.com
- web github.com
- web github.com
- web vulncheck.com
- web nvd.nist.gov
- web github.com