CVE-2026-103527

6.1 Moyenne

Publiée le 12/10/2026 à 17:17 · Modifiée le 16/10/2026 à 20:17 · Analyse NVD reportée · Source : cret@cert.org

Description

Thelia v2.6.0's Smarty templates (address.html and address-update.html) fail to properly escape double quotes in the “next” parameter, enabling reflected Cross‑Site Scripting (XSS) when an authenticated user visits the malicious link containing attacker‑controlled JavaScript.

Traduire en français

Produits concernés

Thelia

Scores CVSS

Version	Score	Source	Vecteur
3.1	6.1 Moyenne	134c704f-9b21-4f2e-91b3-4a467353bcc0	`CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N`

Faiblesses (CWE)

CWE-79

Références

https://kb.cert.org/vuls/id/162329

Ailleurs

NVD
CVE.org
CIRCL Vulnerability-Lookup
CERT-FR
GitHub Advisories