Thelia E-Ticaret Platformunda Kritik Uzaktan Kod Yürütme Zafiyetleri Tespit Edildi
Thelia 2.6.0 ve 2.6.1 sürümlerinde bulunan çok sayıda güvenlik açığı, saldırganların sunucu üzerinde tam kontrol sağlamasına olanak tanıyor.
Açık kaynaklı e-ticaret altyapısı Thelia'nın 2.6.0 ve 2.6.1 sürümleri, sistem güvenliğini doğrudan tehdit eden çok sayıda zafiyetle karşı karşıya. CERT Coordination Center tarafından paylaşılan bilgilere göre, platformun dosya yönetimi, Smarty şablon motoru ve modül kurulum süreçlerinde bulunan açıklar, saldırganların uzaktan kod yürütme (RCE) gerçekleştirmesine, sunucu tarafında şablon enjeksiyonu (SSTI) yapmasına ve hassas verilere erişmesine imkan tanıyor.
Platformun 2.6.0 sürümündeki CVE-2026-103521 ve CVE-2026-103522 kodlu açıklar, dosya yükleme uç noktalarındaki yetersiz denetimlerden kaynaklanıyor. Yönetici yetkisine sahip bir saldırgan, PHP dosyalarını görsel gibi gizleyerek sisteme yükleyebiliyor ve bu dosyaları çalıştırarak sunucuda komut yürütebiliyor. Benzer şekilde, CVE-2026-103528 ve CVE-2026-103529 kodlu zafiyetler, e-posta şablonları üzerinden zararlı Smarty ifadeleri enjekte edilmesine veya denetlenmeyen modüllerin yüklenmesine olanak vererek sunucu güvenliğini tamamen baypas ediyor.
İlginizi çekebilir · Siber GüvenlikFlock, Kendi Ürünleri İçin CVE Yayınlama Yetkisi AldıGüncel sürüm olan 2.6.1'de de durum farklı değil. CVE-2026-103535 ve CVE-2026-103537 kodlu açıklar, çeviri düzenleyici ve şablon işleme süreçlerinde yol kat etme (path traversal) hatalarını kullanıyor. Bu açıklar zincirlendiğinde, saldırganlar web erişimine açık dizinlere zararlı dosyalar yazabiliyor veya sistemdeki dosyaları şablon olarak derleyerek komut çalıştırabiliyor. Ayrıca, platformda depolanmış ve yansıtılmış XSS zafiyetleri ile yönetici hesaplarının numaralandırılmasını sağlayan CVE-2026-103526 gibi kimlik doğrulama hataları da ciddi riskler oluşturuyor.
Söz konusu zafiyetler, platformun hem sunucu hem de istemci tarafındaki saldırı yüzeyini genişletiyor.
