CVE-2026-120205

Mở trang đầy đủ

CVSS 8.0 HIGH

Thelia before 3.1.0 Stored XSS via Coupon Condition Customer Name

Công bố
Cập nhật
Lần đầu thấy
Nguồn
NVD, CVE.org

Mô tả

Thelia before 3.1.0 contains a stored cross-site scripting vulnerability in ForSomeCustomers::getSummary() that allows unauthenticated attackers to inject scripts via unescaped customer names. Attackers can register with a script payload as their name that executes when administrators view related coupons, stealing CSRF tokens to create administrator accounts.

Điểm và phân loại

CVSS
8.0 HIGH v3.1
Nguồn điểm
NVD
Mức độ (theo nguồn)
HIGH
EPSS
—
CWE
CWE-79

Vector CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:N

Ảnh hưởng

Sản phẩm

  • Thelia Thelia
  • Thelia Thelia Core

Vì sao được giữ

  • CVSS 8.0 >= 8.0

Loại tác động

Không nhận ra loại tác động nào từ CWE, vector hay mô tả.

Dữ liệu riêng của nguồn

CVE.org · Đơn vị cấp mã
VulnCheck

Tham khảo