CVE-2026-84186
ŚrednieCVSS 6.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
Podatność w PrestaShop dotyczy nieprawidłowej kontroli dostępu w funkcji Tools::getRemoteAddr(), która pozwala na spoofowanie adresu IP klienta przez nagłówek X-Forwarded-For, gdy aplikacja działa za odwrotnym proxy, load balancerem lub CDN. Aplikacja nieprawidłowo przetwarza adres IP i używa adresu kontrolowanego przez odwiedzającego zamiast tego dostarczonego przez zaufaną infrastrukturę, co pozwala nieuwierzytelnionemu zdalnemu atakującemu na podszywanie się pod dowolny adres IP.
Ocena ryzyka
Atakujący może ominąć kontrolę opartą na IP, taką jak lista dozwolonych w trybie konserwacji, fałszować logi bezpieczeństwa i audytowe oraz unikać mechanizmów zewnętrznych opartych na IP, takich jak geolokalizacja, wykrywanie oszustw czy ograniczanie żądań.
Rekomendacja
Zaleca się zaktualizowanie PrestaShop do wersji zawierającej poprawkę oraz skonfigurowanie zaufanych proxy do nadpisywania nagłówka X-Forwarded-For.
Inne podatności w PrestaShop
Zobacz wszystkie- CVE-2023-45379Krytyczne
W module "Rotator Img" (posrotatorimg) dla PrestaShop w wersjach co najmniej do 1.1 od PosThemes, niezalogowany użytkownik może przeprowadzić atak SQL Injection.
- CVE-2023-39526Krytyczne
PrestaShop to aplikacja e-commerce typu open source, która w wersjach przed 1.7.8.10, 8.0.5 i 8.1.1 jest podatna na zdalne wykonanie kodu poprzez wstrzyknięcie SQL oraz możliwość zapisu dowolnych plików w panelu administracyjnym.
- CVE-2026-50986Wysokie
Moduł PrestaShop totadministrativemandate w wersji poniżej 1.8.1 jest podatny na atak CSRF. Kontroler płatności nie posiada tokena CSRF, co umożliwia atakującemu potwierdzenie zamówienia w stanie oczekiwania poprzez przechwycenie linku.
- CVE-2026-14846Średnie
W PrestaShop 8.2.1 wykryto podatność polegającą na nieprawidłowym oczyszczaniu danych wejściowych w parametrze 'Alias' funkcji 'Aktualizuj adres'. Atakujący może wstrzyknąć złośliwe wyrażenia, które są wykonywane podczas eksportu danych do CSV za pomocą narzędzia 'Pobierz moje dane w CSV'.
- CVE-2025-25692Średnie
W PrestaShop w wersji 8.2.0 wykryto podatność na deserializację PHAR w funkcji _getHeaders. Umożliwia ona atakującemu wykonanie dowolnego kodu poprzez spreparowane żądanie POST.
- CVE-2025-25691Średnie
W PrestaShop v8.2.0 w komponencie /themes/import występuje podatność na deserializację PHAR, która umożliwia zdalne wykonanie kodu poprzez spreparowane żądanie POST.
- CVE-2023-39529Średnie
PrestaShop przed wersją 8.1.1 pozwala na usunięcie pliku z serwera za pomocą kontrolera załączników i API załączników. Wersja 8.1.1 zawiera poprawkę dla tego problemu.
- CVE-2023-39528Średnie
PrestaShop przed wersją 8.1.1 zawierał metodę `displayAjaxEmailHTML`, która mogła być wykorzystana do odczytu dowolnego pliku na serwerze, w tym potencjalnie poza projektem, jeśli serwer nie był poprawnie skonfigurowany.
- CVE-2023-39527Wysokie
PrestaShop, jako otwartoźródłowa aplikacja e-commerce, jest podatna na ataki typu cross-site scripting (XSS) poprzez metodę `isCleanHTML` w wersjach wcześniejszych niż 1.7.8.10, 8.0.5 i 8.1.1. Wersje 1.7.8.10, 8.0.5 i 8.1.1 zawierają poprawkę.
- CVE-2023-39525Średnie
PrestaShop przed wersją 8.1.1 ma lukę w back office, która pozwala na kompromitację plików poprzez atak typu path traversal. Można to osiągnąć, powtarzając zapytanie o usunięcie pliku importu z określoną ścieżką pliku wykorzystującą tę lukę.
Oryginalny opis (angielski, źródło NVD)
Vulnerability involving incorrect access control in the Tools::getRemoteAddr() function in PrestaShop, which allows the client’s IP address to be spoofed via the X-Forwarded-For header when the application is running behind a reverse proxy, load balancer or CDN. The application incorrectly processes the IP address string and uses the address controlled by the visitor rather than the one provided by the trusted infrastructure, allowing an unauthenticated remote attacker to cause the application to interpret their connection as originating from an arbitrary IP address. This condition allows IP-based controls, such as the maintenance mode allowlist, to be bypassed, as well as enabling the forgery of security and audit logs and the evasion of third-party mechanisms that rely on the IP address, such as geolocation checks, fraud detection or request throttling.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS