CVE-2025-61923
ŚrednieCVSS 4.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 59 - wyżej niż 59% wszystkich znanych CVE
Streszczenie
W PrestaShop Checkout w wersjach przed 4.4.1 i 5.0.5 brakuje walidacji wejścia w backoffice, co prowadzi do path traversal i ujawnienia dowolnych plików. Podatność została naprawiona w wersjach 4.4.1 i 5.0.5.
Ocena ryzyka
Atakujący może odczytać dowolne pliki na serwerze, co może prowadzić do ujawnienia wrażliwych danych, takich jak dane konfiguracyjne lub klucze.
Rekomendacja
Należy zaktualizować moduł PrestaShop Checkout do wersji 4.4.1 lub 5.0.5.
Inne podatności w PrestaShop Checkout
Zobacz wszystkie- CVE-2025-61922Krytyczne
Moduł PrestaShop Checkout w wersjach od 1.3.0 do przed 4.4.1 i 5.0.5 ma brak walidacji w funkcji Express Checkout, co umożliwia ciche logowanie i przejęcie konta poprzez adres e-mail. Luka została naprawiona w wersjach 4.4.1 i 5.0.5. Nie istnieją znane obejścia.
- CVE-2025-61924Niskie
W module PrestaShop Checkout (wersje przed 4.4.1 i 5.0.5) występuje podatność umożliwiająca przejęcie docelowego konta handlowego PayPal z poziomu backoffice z powodu nieprawidłowego użycia funkcji PHP array_search(). Podatność została naprawiona w wersjach 4.4.1 i 5.0.5.
Oryginalny opis (angielski, źródło NVD)
PrestaShop Checkout is the PrestaShop official payment module in partnership with PayPal. In versions prior to 4.4.1 and 5.0.5, the backoffice is missing validation on input resulting in a directory traversal and arbitrary file disclosure. The vulnerability is fixed in versions 4.4.1 and 5.0.5. No known workarounds exist.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS