Veille sécuritéCMS & e-commerce
P3Élevée
Une traversée de chemin dans la gestion des pièces jointes pouvait exposer des fichiers hors du répertoire prévu et permettre leur suppression via le Webservice. Mettre à niveau vers 9.2.1 ou 8.2.9 et ne pas accorder à des clés Webservice non fiables le droit d’écrire des pièces jointes.
PrestaShop
IdentifiantAvis de sécurité
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif9.2.1; 8.2.9
Source : Avis PrestaShop GHSA-wrmc-gmx5-9hhc
Analyse technique
Le nom de fichier d’une pièce jointe, définissable via l’API Webservice, n’était pas suffisamment limité au répertoire de téléchargement. Le téléchargement frontal pouvait être accessible sans authentification; l’écriture via Webservice nécessitait une clé ayant les droits pertinents.
Impact, versions et correctif
Événement datéAvis publié le 2026-11-09 à 12:35:18Z (14:35:18 +02:00), dans la période.
ImpactLecture de fichiers hors du répertoire de téléchargement et suppression de fichiers via le Webservice.
Versions affectées>= 9.0.0, < 9.2.1; >= 8.0.0, < 8.2.9
Version corrigée9.2.1; 8.2.9
ContournementNe pas accorder le droit d’écriture sur les pièces jointes aux clés Webservice qui ne sont pas pleinement fiables.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.5
Publication2026-11-09T12:35:18Z
Mise à jour2026-11-09T12:35:18Z
Action recommandée
Mettre à niveau vers PrestaShop 9.2.1 ou 8.2.9.
Sources
Priorisation DFS : P3 · 1 source(s).