CVE-2025-61924
NiskieCVSS 3.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
W module PrestaShop Checkout (wersje przed 4.4.1 i 5.0.5) występuje podatność umożliwiająca przejęcie docelowego konta handlowego PayPal z poziomu backoffice z powodu nieprawidłowego użycia funkcji PHP array_search(). Podatność została naprawiona w wersjach 4.4.1 i 5.0.5.
Ocena ryzyka
Atakujący z dostępem do backoffice może przejąć konto handlowe PayPal, co może prowadzić do nieautoryzowanych transakcji finansowych. Organizacje korzystające z PrestaShop Checkout są narażone na poważne straty finansowe.
Rekomendacja
Natychmiast zaktualizuj moduł PrestaShop Checkout do wersji 4.4.1 lub 5.0.5. Nie istnieją znane obejścia tego problemu.
Inne podatności w PrestaShop Checkout
Zobacz wszystkie- CVE-2025-61922Krytyczne
Moduł PrestaShop Checkout w wersjach od 1.3.0 do przed 4.4.1 i 5.0.5 ma brak walidacji w funkcji Express Checkout, co umożliwia ciche logowanie i przejęcie konta poprzez adres e-mail. Luka została naprawiona w wersjach 4.4.1 i 5.0.5. Nie istnieją znane obejścia.
- CVE-2025-61923Średnie
W PrestaShop Checkout w wersjach przed 4.4.1 i 5.0.5 brakuje walidacji wejścia w backoffice, co prowadzi do path traversal i ujawnienia dowolnych plików. Podatność została naprawiona w wersjach 4.4.1 i 5.0.5.
Oryginalny opis (angielski, źródło NVD)
PrestaShop Checkout is the PrestaShop official payment module in partnership with PayPal. In versions prior to 4.4.1 and 5.0.5, the Target PayPal merchant account hijacking from backoffice due to wrong usage of the PHP array_search(). The vulnerability is fixed in versions 4.4.1 and 5.0.5. No known workarounds exist.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS