CVE-2026-54159
KrytyczneCVSS 10.0Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 51 - wyżej niż 51% wszystkich znanych CVE
Streszczenie
Moduł ps_facetedsearch dla PrestaShop w wersjach od 3.0.0 do 4.0.4 (przed 4.0.4) zawiera podatność na deserializację. Moduł odtwarza wybrane filtry wyszukiwania z URL żądania, a wartość filtra suwaka (cena lub waga) jest pobierana z URL bez wystarczającej walidacji i przechowywana w pamięci podręcznej bloków filtrów, gdzie jest serializowana, a później odczytywana za pomocą surowego unserialize(). Nieuwierzytelniony atakujący może przesłać złośliwy serializowany obiekt PHP do pamięci podręcznej, a podczas deserializacji łańcuch gadżetów zapisuje dowolny plik PHP w katalogu modułu, który jest następnie używany jako webshell do wykonywania poleceń na serwerze.
Ocena ryzyka
Atakujący może zdalnie wykonać dowolne polecenia na serwerze PrestaShop, co prowadzi do pełnej kompromitacji sklepu, kradzieży danych klientów i przejęcia kontroli nad platformą e-commerce.
Rekomendacja
Zaktualizuj moduł ps_facetedsearch do wersji 4.0.4 lub nowszej, która usuwa tę podatność.
Oryginalny opis (angielski, źródło NVD)
PrestaShop ps_facetedsearch is a module that adds layered navigation filters. From 3.0.0 until 4.0.4, the ps_facetedsearch module rebuilds selected search filters from the request URL, and the value of a slider filter, price or weight, is taken from the URL without sufficient validation and stored in an internal filter-block cache where it is serialized and later read back with a raw native unserialize() in src/Filters/Block.php. By crafting that value, an unauthenticated attacker can smuggle a malicious serialized PHP object into the cache, and when it is deserialized, a gadget chain writes an arbitrary PHP file inside the modules/ps_facetedsearch/ directory, which is then used as a webshell to run commands on the server. This issue is fixed in version 4.0.4.