CVE-2026-112285
Publiée le 2026-10-19 · Dernière modification le 2026-10-19
Les versions de la plateforme d'e-commerce Thelia antérieures aux versions 3.1.5 et 3.2.4 contiennent une faille dans la manière dont les limites des coupons sont suivies. Le logiciel est utilisé pour gérer des boutiques en ligne, mais il ne considère un coupon comme « utilisé » qu'une fois que la commande est marquée comme payée. Cette erreur de logique permet aux utilisateurs de passer plusieurs commandes en attente ou d'annuler des commandes existantes pour réinitialiser leur compteur d'utilisation.
Un attaquant disposant d'un compte client standard peut exploiter cette faille via le réseau pour obtenir des remises illimitées, compromettant ainsi l'intégrité financière de la boutique. Aucun privilège particulier au-delà d'une connexion basique n'est requis, et le processus ne nécessite aucune interaction de la part de l'administrateur. Bien que cela n'entraîne aucune fuite de données privées ni le plantage du serveur, cela permet un abus intentionnel des tarifs promotionnels.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Thelia before 3.1.5 and 3.2.x before 3.2.4 contains a business logic vulnerability that allows authenticated customers to bypass coupon usage limits because usage is counted only when orders become paid. Attackers can place multiple pay-later orders while a usage remains, or cancel paid orders to inflate max_usage, gaining unlimited discounts.