CVE-2026-103521: обход валидации файлов в Thelia 2.6.0 ведёт к RCE
В Thelia 2.6.0 обнаружена уязвимость, позволяющая обойти проверку типов файлов при обновлении документа и загрузить исполняемый файл, например PHP-скрипт. Эксплуатация приводит к удалённому выполнению кода на сервере. Проблема требует наличия административных прав в системе, поэтому уровень риска оценивается как высокий для скомпрометированных или слабо защищённых административных аккаунтов.
Подробности
Уязвимость затрагивает Thelia версии 2.6.0. Ключевая особенность проблемы заключается в расхождении логики проверки между двумя эндпоинтами: - эндпоинт загрузки документа (document upload) корректно блокирует загрузку исполняемых типов файлов; - эндпоинт обновления документа (document update) такой проверки не выполняет. Из-за этого атакующий, обладающий административными правами в Thelia, может воспользоваться эндпоинтом обновления, чтобы загрузить произвольный исполняемый файл — например, вредоносный PHP-скрипт. Размещение такого файла на сервере и последующий доступ к нему приводят к удалённому выполнению кода (Remote Code Execution, RCE) на нижележащем сервере. Согласно описанию CVE, для эксплуатации требуются административные привилегии в приложении. Это снижает вероятность массового использования уязвимости внешними злоумышленниками, однако повышает её значимость в сценариях с украденными, слабо защищёнными или избыточными административными учётными записями, а также при наличии в инфраструктуре недоверенных или скомпрометированных сотрудников с правами администратора. Числовое значение CVSS в записи CVE не указано, поэтому воздерживаемся от его оценки.Что делать
Рекомендации для владельцев и администраторов систем на Thelia: - Проверить, используется ли версия 2.6.0, и отслеживать выпуск обновлений от разработчиков Thelia с исправлением данной уязвимости. - При наличии официального патча — незамедлительно установить его. - До выхода исправления рассмотреть временные митигации: ограничение доступа к административной панели (по IP-адресам, через VPN), применение строгой аутентификации, в том числе многофакторной. - Провести ревизию административных учётных записей и сократить их количество до минимально необходимого, следуя принципу наименьших привилегий. - Настроить веб-сервер так, чтобы файлы в каталогах загрузки документов не могли исполняться (например, отключить выполнение PHP в директориях загрузок). - Вести мониторинг на предмет появления подозрительных файлов в каталогах загрузок и аномальной активности административных аккаунтов. Итог: CVE-2026-103521 — это уязвимость обхода проверки типов файлов в Thelia 2.6.0, которая при наличии административных прав позволяет загрузить исполняемый файл и добиться выполнения кода на сервере. Несмотря на требование привилегий, последствия эксплуатации серьёзны, поэтому администраторам стоит принять компенсирующие меры до выхода официального обновления.Источник: CVE Project (cvelistV5)