CVE-2025-61922

KrytyczneCVSS 9.1

Opublikowano: 16/10/2025(UTC)Zaktualizowano: 09/10/2026(UTC)Przetłumaczono: 09/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.50%

Percentyl 41 - wyżej niż 41% wszystkich znanych CVE

Streszczenie

Moduł PrestaShop Checkout w wersjach od 1.3.0 do przed 4.4.1 i 5.0.5 ma brak walidacji w funkcji Express Checkout, co umożliwia ciche logowanie i przejęcie konta poprzez adres e-mail. Luka została naprawiona w wersjach 4.4.1 i 5.0.5. Nie istnieją znane obejścia.

Ocena ryzyka

Atakujący może przejąć konto użytkownika bez jego wiedzy, uzyskując dostęp do danych osobowych, historii zamówień i metod płatności. Może to prowadzić do oszustw i naruszenia prywatności klientów sklepu.

Rekomendacja

Natychmiast zaktualizuj moduł PrestaShop Checkout do wersji 4.4.1 lub 5.0.5 (lub nowszej). Nie ma dostępnych obejść, więc aktualizacja jest jedynym rozwiązaniem.

Inne podatności w PrestaShop Checkout

CVE-2025-61923Średnie
W PrestaShop Checkout w wersjach przed 4.4.1 i 5.0.5 brakuje walidacji wejścia w backoffice, co prowadzi do path traversal i ujawnienia dowolnych plików. Podatność została naprawiona w wersjach 4.4.1 i 5.0.5.

Oryginalny opis (angielski, źródło NVD)

PrestaShop Checkout is the PrestaShop official payment module in partnership with PayPal. Starting in version 1.3.0 and prior to versions 4.4.1 and 5.0.5, missing validation on the Express Checkout feature allows silent login, enabling account takeover via email. The vulnerability is fixed in versions 4.4.1 and 5.0.5. No known workarounds exist.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS