Thelia: Unbeschränkter Datei-Upload führt zu Remote Code Execution

Zusammenfassung

Thelia, eine Open-Source-E-Commerce-Plattform auf PHP-Basis, blockiert hochgeladene PHP-Dateien im Backoffice nicht zuverlässig. Ein angehängtes Leerzeichen am Dateinamen umgeht die Prüfung der Dateiendung, und die Datei wird als ausführbare .php-Datei unter public/cache/documents/ gespeichert. Ein authentifizierter Backoffice-Benutzer kann dadurch Code als Benutzer des Webservers auf dem Shop-Host ausführen. Der Angreifer benötigt ein Backoffice-Konto, daher hängt das Risiko davon ab, wie gut diese Konten und der Backoffice-Login geschützt sind.

Betroffen

• Thelia-Versionen vor 3.1.2
• Thelia 3.2.0 bis vor 3.2.1

Behoben in

• Upgrade auf Thelia 3.1.2 (3.1-Linie)
• Upgrade auf Thelia 3.2.1 (3.2-Linie)

Umgehung

Unbekannt. Der Hersteller dokumentiert keine Workaround-Massnahme. Übergangsmassnahmen (eigene Empfehlung, nicht vom Hersteller): Backoffice-Zugriff auf VPN oder IP-Allowlists beschränken, MFA erzwingen, Backoffice-Konten auf das Minimum reduzieren und den Webserver so konfigurieren, dass er PHP in Upload- und Cache-Verzeichnissen nicht ausführt.

Ausnutzung

• CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
• Es wurden keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
• Der Status öffentlicher PoC-Exploits ist zwischen den Quellen widersprüchlich und wurde nicht verifiziert.
• Der CISA-KEV-Status wurde nicht direkt geprüft.
• Der EPSS-Wert liegt bei etwa 0.0044 (niedrig).

Unsere Empfehlung

• Alle Thelia-Instanzen und deren Versionen identifizieren.
• Auf 3.1.2 oder 3.2.1 aktualisieren, je nach Linie. Die Version 3.2.1 behebt zusätzlich ein CSV-Formula-Injection-Problem (GHSA-gcgv-f8rf-w2wc).
• Beachten: Das Update blockiert neue Uploads dieser Art, entfernt aber bereits gespeicherte Dateien nicht. Medien- und Cache-Verzeichnisse auf vor dem Update hochgeladene, ausführbare Dateien wie .php prüfen und unerwartete Dateien nach einer Untersuchung entfernen.
• Backoffice-Zugriff auf vertrauenswürdige Netze oder VPN beschränken und MFA erzwingen.
• Webserver auf unerwartete PHP-Dateien und vom Webserver-Benutzer gestartete Prozesse überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-5524-qfxp-33v9 github.com
• VulnCheck advisory: Thelia file upload RCE via filename trailing space www.vulncheck.com
• Thelia release 3.1.2 github.com
• Thelia release 3.2.1 github.com
• Thelia commit 6b706f5 (upload check against stored name) github.com
• OSV entry CVE-2026-109397 osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 08:47.