Veille sécuritéCMS & e-commerce
P3Élevée
Le nom du module fourni à la page historique de traduction du back-office était utilisé pour construire un chemin de fichier inclus sans validation par rapport aux modules installés; combiné à un fichier téléversé par un employé, cela pouvait permettre l’exécution de code. Mettre à niveau et limiter les permissions de traduction et d’import aux employés de confiance.
PrestaShop
IdentifiantGHSA-FXQ4-2MC8-99PR
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif9.2.1; 8.2.9
Analyse technique
Inclusion de fichier arbitraire à partir du paramètre module dans la page historique de traduction du back-office; l’exécution s’effectue avec les privilèges du serveur web.
Impact, versions et correctif
Événement datéAvis GitHub publié le 2026-11-09; date incluse dans la période demandée.
ImpactUn employé autorisé pouvait, avec un fichier téléversé, déclencher l’exécution de code sur le serveur.
Versions affectées>= 9.0.0, < 9.2.1; >= 8.0.0, < 8.2.9
Version corrigée9.2.1; 8.2.9
ContournementRestreindre les permissions de traduction et d’import aux employés de confiance.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2
Publication2026-11-09T12:35:11Z
Mise à jour2026-11-09T12:35:11Z
Action recommandée
Mettre à niveau vers 9.2.1 ou 8.2.9 et limiter les permissions concernées.
Sources
Priorisation DFS : P3 · 1 source(s).