Veille sécuritéCMS & e-commerce
P3Élevée
Si le dossier d’installation restait présent sur le serveur, une faiblesse dans le cookie de session de l’installateur pouvait permettre à un attaquant non authentifié d’obtenir l’exécution de code. Mettre à niveau vers 9.2.1 ou 8.2.9 et supprimer le dossier install après l’installation.
PrestaShop
IdentifiantAvis de sécurité
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif9.2.1; 8.2.9
Source : Avis PrestaShop GHSA-h2q4-7fp7-m5jp
Analyse technique
La session de l’installateur était protégée par une clé dérivée d’une valeur prévisible et des données du cookie étaient désérialisées sans restriction des classes instanciables. Le risque décrit dépend de la présence du dossier d’installation.
Impact, versions et correctif
Événement datéAvis publié le 2026-11-09 à 12:35:13Z (14:35:13 +02:00), dans la période.
ImpactExécution de code avec les privilèges du serveur web dans les installations exposées.
Versions affectées>= 9.0.0, < 9.2.1; >= 8.0.0, < 8.2.9
Version corrigée9.2.1; 8.2.9
ContournementSupprimer le dossier install du serveur après installation.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.1
Publication2026-11-09T12:35:13Z
Mise à jour2026-11-09T12:35:13Z
Action recommandée
Mettre à niveau vers PrestaShop 9.2.1 ou 8.2.9 et supprimer le dossier install.
Sources
Priorisation DFS : P3 · 1 source(s).