Thelia: Path Traversal und PHP-Code-Injection im Übersetzungseditor ermöglichen RCE

Zusammenfassung

Thelia 2.6.1 enthält Path-Traversal- und PHP-Code-Injection-Schwachstellen im Übersetzungseditor, die zu einer Remote Code Execution verkettet werden können. Ein authentifizierter Benutzer mit UPDATE-Rechten auf admin.configuration.language kann eine schädliche PHP-Datei an einen webzugänglichen Pfad schreiben und mit den Rechten des Webservers ausführen. Der Angriff setzt ein gültiges Back-Office-Konto mit dieser Berechtigung voraus.

Betroffen

• Thelia 2.6.1 (Angaben im CVE-Eintrag: bis einschliesslich 2.6.1)
• Version 2.6.0 ist im CVE-Eintrag nicht bestätigt; bis zur Stellungnahme des Herstellers als betroffen behandeln

Behoben in

Unbekannt. In den verfügbaren Quellen ist keine korrigierte Version bestätigt.

Umgehung

• Zugriff auf das Thelia-Back-Office einschränken (VPN oder IP-Allowlist)
• UPDATE-Rechte auf admin.configuration.language bei Konten entfernen, die sie nicht benötigen
• Webroot und beschreibbare Verzeichnisse auf unerwartete PHP-Dateien prüfen

Ausnutzung

• Nicht als ausgenutzt bekannt; nicht im CISA-KEV-Katalog
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total
• Bei einer begrenzten Suche kein öffentlicher Proof of Concept gefunden

Unsere Empfehlung

• Back-Office-Zugriff auf vertrauenswürdige Netze beschränken und nicht benötigte Admin-Rechte entfernen
• Übersetzungsdateien und Webroot auf unerwartete PHP-Dateien und kürzliche Änderungen prüfen
• Auf neue Thelia-Versionen achten und die Korrektur des Herstellers so rasch wie möglich einspielen
• Aktuelle Details im CERT/CC-Eintrag VU#162329 konsultieren

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CERT/CC VU#162329 kb.cert.org
• OpenCVE CVE record app.opencve.io
• HOL CVE details hol.org
• Strix CVE-2026-103535 www.strix.ai
• GitHub alert (EPSS, KEV) github.com
• Offseq summary of CERT note radar.offseq.com
• Vulners VULNRICHMENT CVE-2026-103535 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 20:27.