Thelia: Server-side Template Injection in Nachrichten des Backends
Zusammenfassung
Thelia 3.0.0 setzt Twig-Templates in der Nachrichten-/E-Mail-Funktion des Backends nicht in einer Sandbox aus. Ein angemeldeter Benutzer mit der Berechtigung "Messages" kann Nachrichteninhalte so manipulieren, dass sie als Code kompiliert und ausgeführt werden. Dies kann die Ausführung beliebiger PHP-Funktionen, das Lesen sensibler Dateien und möglicherweise das Schreiben ins Dateisystem ermöglichen, was zu einer vollständigen Kompromittierung der Anwendung und des Hosts führen kann.
Betroffen
- Thelia 3.0.0 (gemäss CVE-Eintrag und CNA-Daten)
- Ausnutzung erfordert einen angemeldeten Backend-Benutzer mit der Berechtigung "Messages"
- Betroffenheit anderer Core-Versionen ist unbekannt.
Behoben in
- Behoben in thelia/twig-engine-module 1.0.9 (gemäss CVE-Eintrag)
- Unbekannt: Ob 1.0.9 auch den Thelia-Core 3.0.0 behebt oder ob ein separater Core-Patch existiert. Es wurde keine Herstellerwarnung gefunden.
Umgehung
- Unbekannt: Keine vom Hersteller genannte Massnahme ausser dem Modul-Update.
- Zugriff auf das Backend einschränken (z. B. VPN oder IP-Allowlist), um die Exponierung zu reduzieren.
Ausnutzung
- CISA SSVC: Exploitation none, automatable no, technical impact total.
- EPSS-Wert 0.19%. Nicht in der KEV-Liste. Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
- Kein öffentlicher Proof of Concept gefunden; VulDB gibt an, kein Exploit sei verfügbar, bewertet die Ausnutzung jedoch als einfach.
Unsere Empfehlung
- thelia/twig-engine-module auf 1.0.9 oder neuer aktualisieren und die Thelia-Core-Version beim Hersteller verifizieren.
- Prüfen, welche Konten die Berechtigung "Messages" besitzen, und diese dort entfernen, wo sie nicht benötigt wird.
- Bestehende Nachrichten- und E-Mail-Templates auf unerwartete Twig-Syntax prüfen.
- Auf unerwartete Dateien in web-zugänglichen Pfaden prüfen und Admin-Logs auf kürzliche Nachrichtenänderungen durchsehen.
- Falls eine 2.6.x-Installation im Einsatz ist, die zugehörige CERT/CC-Warnung separat beurteilen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CERT/CC Vulnerability Note VU#162329 kb.cert.org
- OpenCVE: CVE-2026-107248 app.opencve.io
- Packagist: thelia/twig-engine-module root.packagist.org
- GitHub issue: CVE-2026-107248 score and EPSS github.com
- VulDB: CVE-2026-107248 vuldb.com
- Strix: CVE-2026-107248 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 20:27.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.