CVE-2022-46965
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 53 - wyżej niż 53% wszystkich znanych CVE
Streszczenie
Moduł PrestaShop o nazwie totadministrativemandate w wersji przed 1.7.1 zawiera podatność na wstrzykiwanie SQL. Luka ta może pozwolić atakującemu na wykonanie nieautoryzowanych zapytań do bazy danych.
Ocena ryzyka
Ryzyko polega na możliwości kradzieży lub modyfikacji wrażliwych danych klientów i konfiguracji sklepu, co może prowadzić do naruszenia poufności i integralności systemu.
Rekomendacja
Należy niezwłocznie zaktualizować moduł totadministrativemandate do wersji 1.7.1 lub nowszej, która zawiera poprawkę eliminującą podatność.
Inne podatności w PrestaShop
Zobacz wszystkie- CVE-2026-85520Krytyczne
Moduł Google Merchant Center Feed (gmfeed) dla PrestaShop jest podatny na nieuwierzytelniony zapis dowolnych plików w punkcie końcowym feed.php. Nieuwierzytelniony atakujący może wysłać spreparowane żądanie, które kontroluje nazwę pliku, ścieżkę, rozszerzenie i zawartość poprzez parametry żądania. Z powodu braku uwierzytelnienia i walidacji wejścia, żądanie jest przetwarzane, umożliwiając atakującemu zapis i wykonanie dowolnego kodu PHP, co prowadzi do zdalnego wykonania kodu (RCE). Problem został naprawiony w wersji 2.3.9.
- CVE-2023-45379Krytyczne
W module "Rotator Img" (posrotatorimg) dla PrestaShop w wersjach co najmniej do 1.1 od PosThemes, niezalogowany użytkownik może przeprowadzić atak SQL Injection.
- CVE-2023-39526Krytyczne
PrestaShop to aplikacja e-commerce typu open source, która w wersjach przed 1.7.8.10, 8.0.5 i 8.1.1 jest podatna na zdalne wykonanie kodu poprzez wstrzyknięcie SQL oraz możliwość zapisu dowolnych plików w panelu administracyjnym.
- CVE-2026-84186Średnie
Podatność w PrestaShop dotyczy nieprawidłowej kontroli dostępu w funkcji Tools::getRemoteAddr(), która pozwala na spoofowanie adresu IP klienta przez nagłówek X-Forwarded-For, gdy aplikacja działa za odwrotnym proxy, load balancerem lub CDN. Aplikacja nieprawidłowo przetwarza adres IP i używa adresu kontrolowanego przez odwiedzającego zamiast tego dostarczonego przez zaufaną infrastrukturę, co pozwala nieuwierzytelnionemu zdalnemu atakującemu na podszywanie się pod dowolny adres IP.
- CVE-2026-50986Wysokie
Moduł PrestaShop totadministrativemandate w wersji poniżej 1.8.1 jest podatny na atak CSRF. Kontroler płatności nie posiada tokena CSRF, co umożliwia atakującemu potwierdzenie zamówienia w stanie oczekiwania poprzez przechwycenie linku.
- CVE-2026-14846Średnie
W PrestaShop 8.2.1 wykryto podatność polegającą na nieprawidłowym oczyszczaniu danych wejściowych w parametrze 'Alias' funkcji 'Aktualizuj adres'. Atakujący może wstrzyknąć złośliwe wyrażenia, które są wykonywane podczas eksportu danych do CSV za pomocą narzędzia 'Pobierz moje dane w CSV'.
- CVE-2025-25692Średnie
W PrestaShop w wersji 8.2.0 wykryto podatność na deserializację PHAR w funkcji _getHeaders. Umożliwia ona atakującemu wykonanie dowolnego kodu poprzez spreparowane żądanie POST.
- CVE-2025-25691Średnie
W PrestaShop v8.2.0 w komponencie /themes/import występuje podatność na deserializację PHAR, która umożliwia zdalne wykonanie kodu poprzez spreparowane żądanie POST.
- CVE-2023-39529Średnie
PrestaShop przed wersją 8.1.1 pozwala na usunięcie pliku z serwera za pomocą kontrolera załączników i API załączników. Wersja 8.1.1 zawiera poprawkę dla tego problemu.
- CVE-2023-39528Średnie
PrestaShop przed wersją 8.1.1 zawierał metodę `displayAjaxEmailHTML`, która mogła być wykorzystana do odczytu dowolnego pliku na serwerze, w tym potencjalnie poza projektem, jeśli serwer nie był poprawnie skonfigurowany.
Oryginalny opis (angielski, źródło NVD)
PrestaShop module, totadministrativemandate before v1.7.1 was discovered to contain a SQL injection vulnerability.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS