CVE-2026-14846
ŚrednieCVSS 4.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
W PrestaShop 8.2.1 wykryto podatność polegającą na nieprawidłowym oczyszczaniu danych wejściowych w parametrze 'Alias' funkcji 'Aktualizuj adres'. Atakujący może wstrzyknąć złośliwe wyrażenia, które są wykonywane podczas eksportu danych do CSV za pomocą narzędzia 'Pobierz moje dane w CSV'.
Ocena ryzyka
Ryzyko polega na możliwości nieautoryzowanego dostępu do danych osobowych ofiary, co może prowadzić do naruszenia prywatności i wycieku wrażliwych informacji klientów.
Rekomendacja
Zaleca się natychmiastową aktualizację PrestaShop do wersji 8.2.2 lub nowszej, która zawiera poprawkę usuwającą tę podatność. Dodatkowo należy ograniczyć dostęp do narzędzia eksportu CSV tylko dla zaufanych użytkowników.
Inne podatności w PrestaShop
Zobacz wszystkie- CVE-2026-85520Krytyczne
Moduł Google Merchant Center Feed (gmfeed) dla PrestaShop jest podatny na nieuwierzytelniony zapis dowolnych plików w punkcie końcowym feed.php. Nieuwierzytelniony atakujący może wysłać spreparowane żądanie, które kontroluje nazwę pliku, ścieżkę, rozszerzenie i zawartość poprzez parametry żądania. Z powodu braku uwierzytelnienia i walidacji wejścia, żądanie jest przetwarzane, umożliwiając atakującemu zapis i wykonanie dowolnego kodu PHP, co prowadzi do zdalnego wykonania kodu (RCE). Problem został naprawiony w wersji 2.3.9.
- CVE-2023-45379Krytyczne
W module "Rotator Img" (posrotatorimg) dla PrestaShop w wersjach co najmniej do 1.1 od PosThemes, niezalogowany użytkownik może przeprowadzić atak SQL Injection.
- CVE-2023-39526Krytyczne
PrestaShop to aplikacja e-commerce typu open source, która w wersjach przed 1.7.8.10, 8.0.5 i 8.1.1 jest podatna na zdalne wykonanie kodu poprzez wstrzyknięcie SQL oraz możliwość zapisu dowolnych plików w panelu administracyjnym.
- CVE-2026-84186Średnie
Podatność w PrestaShop dotyczy nieprawidłowej kontroli dostępu w funkcji Tools::getRemoteAddr(), która pozwala na spoofowanie adresu IP klienta przez nagłówek X-Forwarded-For, gdy aplikacja działa za odwrotnym proxy, load balancerem lub CDN. Aplikacja nieprawidłowo przetwarza adres IP i używa adresu kontrolowanego przez odwiedzającego zamiast tego dostarczonego przez zaufaną infrastrukturę, co pozwala nieuwierzytelnionemu zdalnemu atakującemu na podszywanie się pod dowolny adres IP.
- CVE-2026-50986Wysokie
Moduł PrestaShop totadministrativemandate w wersji poniżej 1.8.1 jest podatny na atak CSRF. Kontroler płatności nie posiada tokena CSRF, co umożliwia atakującemu potwierdzenie zamówienia w stanie oczekiwania poprzez przechwycenie linku.
- CVE-2025-25692Średnie
W PrestaShop w wersji 8.2.0 wykryto podatność na deserializację PHAR w funkcji _getHeaders. Umożliwia ona atakującemu wykonanie dowolnego kodu poprzez spreparowane żądanie POST.
- CVE-2025-25691Średnie
W PrestaShop v8.2.0 w komponencie /themes/import występuje podatność na deserializację PHAR, która umożliwia zdalne wykonanie kodu poprzez spreparowane żądanie POST.
- CVE-2023-39529Średnie
PrestaShop przed wersją 8.1.1 pozwala na usunięcie pliku z serwera za pomocą kontrolera załączników i API załączników. Wersja 8.1.1 zawiera poprawkę dla tego problemu.
- CVE-2023-39528Średnie
PrestaShop przed wersją 8.1.1 zawierał metodę `displayAjaxEmailHTML`, która mogła być wykorzystana do odczytu dowolnego pliku na serwerze, w tym potencjalnie poza projektem, jeśli serwer nie był poprawnie skonfigurowany.
- CVE-2023-39527Wysokie
PrestaShop, jako otwartoźródłowa aplikacja e-commerce, jest podatna na ataki typu cross-site scripting (XSS) poprzez metodę `isCleanHTML` w wersjach wcześniejszych niż 1.7.8.10, 8.0.5 i 8.1.1. Wersje 1.7.8.10, 8.0.5 i 8.1.1 zawierają poprawkę.
Oryginalny opis (angielski, źródło NVD)
In version 8.2.1 of PrestaShop, there is a vulnerability relating to the incorrect sanitisation of elements, caused by inadequate validation of the ‘Alias’ parameter in the ‘Update your address’ function. This flaw allows an attacker to inject malicious expressions that are executed when the information is exported using the ‘Get my data in CSV’ tool. Successful exploitation of this vulnerability could facilitate unauthorised access to the victim’s personal data.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS