CVE-2026-103522
CVSS Skor
7.2
EPSS İhtimal
—
Risk Skoru
0.7
Yayın
7 sa önce
Resmî kaynaklarda yeterli kanıt bulunamadı. Bu sonuç “yama yok” anlamına gelmez.
Envanterimdeki Etkisi
Yalnızca hesabınıza eklediğiniz kişisel ürünler değerlendirilir; kurumsal envanter burada görünmez.
Oturum kontrol ediliyor…
Zafiyet Açıklaması
CVE AI araştırması
DayBreach AI Açıklaması
Kaynakla doğrulandıOkunan kaynak
2
Kaynak uyumu
Tam uyum
Kanıt güveni
%63
Kısa açıklama
Thelia v2.6.0 sürümündeki mağaza afeti yükleme özelliği, yalnızca istemci tarafından sağlanan MIME türlerine güvendiği için yetersiz dosya türü doğrulaması gerçekleştirir. Yönetici erişimine sahip bir saldırgan, doğrulamayı atlatan ve sunucuda uzaktan kod yürütmeyi sağlayan PHP dosyası yükleyebilir.
Bu güvenlik açığı, yüksek düzeyde etki yaratabilir çünkü başarılı bir istismar, saldırganın hedef sunucuda uzaktan kod yürütmesine olanak tanır. Doğrulama mekanizmalarının istemci tarafındaki verilere dayanması bu riski artırmaktadır.
Ne yapılmalı?
- Üretici tavsiyelerini takip edin
- Dosya yükleme doğrulamalarını sunucu tarafında güçlendirin
- MIME türü kontrollerini istemci girdilerine bağımlı olmaktan çıkarın
Kanıt zinciri ve kaynaklar
Thelia v2.6.0 mağaza afeti yükleme özelliği, yalnızca istemci tarafından sağlanan MIME türlerine güvendiği için yetersiz dosya türü doğrulaması gerçekleştirir.
Yönetici erişimine sahip bir saldırgan, doğrulamayı atlamak ve sunucuda uzaktan kod yürütmek için resim olarak gizlenmiş bir PHP dosyası yükleyebilir.
Kaynaklardaki teknik metni göster
In Thelia v2.6.0, the store banner upload feature performs insufficient filetype validation that relies exclusively on client‑supplied MIME types. An attacker with administrative access can upload a PHP file disguised as an image to bypass validation and achieve remote code execution on the underlying server.
CVSS vektörü: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
CWE: CWE-434
Açıklama yerel gemini-flash-lite-latest modeliyle üretildi. Sayısal metrikler, KEV, yama ve exploit durumları AI tarafından belirlenmez.
IMPACT — Etkilenen Ürünler ve Yazılımlar
Affected Products
The following products are affected by CVE-2026-103522 vulnerability. Even if our threat engine is aware of the exact versions of the products that are affected, the information is represented below.
| ID | VENDOR | PRODUCT | ACTION |
|---|---|---|---|
| 1 | Thelia | Thelia | İncele |
RED HAT CSAF/VEX — Ürün Etki Kontrolü
SCORING — CVSS Çoklu Kaynak Skoru
CVSS Scores
The Common Vulnerability Scoring System is a standardized framework for assessing the severity of vulnerabilities in software and systems. We collect and display CVSS scores from various sources for each CVE.
| SCORE | VERSION | SEVERITY | VECTOR | SOURCE |
|---|---|---|---|---|
| 7.2 | CVSS V31 | HIGH | CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H | NVD |
| 7.2 | CVSS V3_1 | HIGH | CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H | CVE ADP |
Yama ve İyileştirme Rehberi (Solution)
Solution & Remediation Advisory
İncelenen resmî kaynaklarda yama durumu doğrulanamadı. Bu sonuç “yama yok” anlamına gelmez.
Public exploit ve aktif sömürü durumu
Doğrulanmış exploit istihbaratı
Bu CVE için henüz doğrulanmış public PoC, exploit repository’si veya Metasploit modülü bulunamadı.
Zafiyet Dağılımı ve Saldırı Kalıpları (CWE & CAPEC)
CWE - Common Weakness Enumeration
While CVE identifies specific instances of vulnerabilities, CWE categorizes the common flaws or weaknesses that can lead to vulnerabilities. CVE-2026-103522 is associated with the following CWEs:
Common Attack Pattern Enumeration and Classification (CAPEC)
Common Attack Pattern Enumeration and Classification (CAPEC) stores attack patterns, which are descriptions of the common attributes and approaches employed by adversaries to exploit the CVE-2026-103522 weaknesses.
Saldırı Vektörü ve Erişilebilirlik Karakteristiği
Resmi Kaynaklar ve Danışma Bültenleri
İlgili Benzer Açıklar
Thelia before 3.1.2 and 3.2.x before 3.2.1 File Upload RCE via Filename Trailing Space
CVE-2026-103521
CVE-2026-103526
Thelia before 3.1.2 and 3.2.x before 3.2.1 CSV Formula Injection via Exports
CVE-2026-107248
CVE-2026-103537
Bu açığı API ile alın
Etkilenen ürünler, sürüm aralıkları, istismar durumu ve yama bilgisi tek istekte; ücretsiz anahtarla.
curl -H "x-api-key: $DAYBREACH_API_KEY" \ "https://api.enginteksut.com.tr/api/v1/intel/cves/CVE-2026-103522"