CVE-2026-50986
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Moduł PrestaShop totadministrativemandate w wersji poniżej 1.8.1 jest podatny na atak CSRF. Kontroler płatności nie posiada tokena CSRF, co umożliwia atakującemu potwierdzenie zamówienia w stanie oczekiwania poprzez przechwycenie linku.
Ocena ryzyka
Atakujący może bez autoryzacji zmienić status zamówienia, co prowadzi do nieautoryzowanych transakcji i strat finansowych.
Rekomendacja
Zaktualizuj moduł totadministrativemandate do wersji 1.8.1 lub nowszej, która zawiera poprawkę CSRF.
Inne podatności w PrestaShop
Zobacz wszystkie- CVE-2023-45379Krytyczne
W module "Rotator Img" (posrotatorimg) dla PrestaShop w wersjach co najmniej do 1.1 od PosThemes, niezalogowany użytkownik może przeprowadzić atak SQL Injection.
- CVE-2023-39526Krytyczne
PrestaShop to aplikacja e-commerce typu open source, która w wersjach przed 1.7.8.10, 8.0.5 i 8.1.1 jest podatna na zdalne wykonanie kodu poprzez wstrzyknięcie SQL oraz możliwość zapisu dowolnych plików w panelu administracyjnym.
- CVE-2026-14846Średnie
W PrestaShop 8.2.1 wykryto podatność polegającą na nieprawidłowym oczyszczaniu danych wejściowych w parametrze 'Alias' funkcji 'Aktualizuj adres'. Atakujący może wstrzyknąć złośliwe wyrażenia, które są wykonywane podczas eksportu danych do CSV za pomocą narzędzia 'Pobierz moje dane w CSV'.
- CVE-2025-25692Średnie
W PrestaShop w wersji 8.2.0 wykryto podatność na deserializację PHAR w funkcji _getHeaders. Umożliwia ona atakującemu wykonanie dowolnego kodu poprzez spreparowane żądanie POST.
- CVE-2025-25691Średnie
W PrestaShop v8.2.0 w komponencie /themes/import występuje podatność na deserializację PHAR, która umożliwia zdalne wykonanie kodu poprzez spreparowane żądanie POST.
- CVE-2023-39529Średnie
PrestaShop przed wersją 8.1.1 pozwala na usunięcie pliku z serwera za pomocą kontrolera załączników i API załączników. Wersja 8.1.1 zawiera poprawkę dla tego problemu.
- CVE-2023-39528Średnie
PrestaShop przed wersją 8.1.1 zawierał metodę `displayAjaxEmailHTML`, która mogła być wykorzystana do odczytu dowolnego pliku na serwerze, w tym potencjalnie poza projektem, jeśli serwer nie był poprawnie skonfigurowany.
- CVE-2023-39527Wysokie
PrestaShop, jako otwartoźródłowa aplikacja e-commerce, jest podatna na ataki typu cross-site scripting (XSS) poprzez metodę `isCleanHTML` w wersjach wcześniejszych niż 1.7.8.10, 8.0.5 i 8.1.1. Wersje 1.7.8.10, 8.0.5 i 8.1.1 zawierają poprawkę.
- CVE-2023-39525Średnie
PrestaShop przed wersją 8.1.1 ma lukę w back office, która pozwala na kompromitację plików poprzez atak typu path traversal. Można to osiągnąć, powtarzając zapytanie o usunięcie pliku importu z określoną ścieżką pliku wykorzystującą tę lukę.
- CVE-2023-39524Średnie
PrestaShop przed wersją 8.1.1 zawierał podatność na wstrzyknięcie SQL w polu wyszukiwania produktów na stronie produktu w panelu administracyjnym. Wersja 8.1.1 zawiera poprawkę dla tego problemu.
Oryginalny opis (angielski, źródło NVD)
PrestaShop module, totadministrativemandate <1.8.1 is vulnerable to Cross Site Request Forgery (CSRF). The payment validation controller has no CSRF token. An attacker can confirm an order in an awaiting status by hijacking a link.