Veille sécuritéCMS & e-commerce
P3Élevée
Une injection de code PHP dans les champs de cookie du mode Debug pouvait permettre à un employé du back-office autorisé à modifier les réglages Performance d’exécuter du code avec les privilèges du serveur web. Le correctif est PrestaShop 9.2.1 ; à défaut, réserver ces permissions aux profils de confiance.
PrestaShop
IdentifiantCVE-2026-124916
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif9.2.1
Source : Avis PrestaShop GHSA-95f5-jc9c-gg3q
Analyse technique
Les valeurs debug_cookie_name et debug_cookie_value étaient écrites sans validation ni échappement suffisants dans un fichier PHP de configuration. Le CVSS 7.2 est celui indiqué par l’avis GHSA; la fiche NVD fournie indique 5.4, divergence non résolue ici.
Impact, versions et correctif
Événement datéL’avis GHSA a été publié le 2026-11-09 à 12:35:07Z (14:35:07 +02:00), dans la période. La fiche NVD CVE-2026-124916 est également datée du 2026-11-09; son entrée de mise à jour est le doublon de cette publication, sans changement substantiel établi séparément.
ImpactExécution de code PHP sur le serveur web par un employé disposant des permissions Performance concernées.
Versions affectées>= 9.0.0, < 9.2.1
Version corrigée9.2.1
ContournementLimiter les permissions de la page Performance aux profils de confiance.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2
Publication2026-11-09T12:35:07Z
Mise à jour2026-11-09T16:47:18Z
Action recommandée
Mettre à niveau vers PrestaShop 9.2.1.
Sources
Priorisation DFS : P3 · 2 source(s).