Veille sécuritéCMS & e-commerce
P3Élevée
Une clé Webservice restreinte à une boutique pouvait accéder aux données d’autres boutiques en demandant le contexte de toutes les boutiques ou d’un groupe. Mettre à niveau; en attendant, désactiver l’API Webservice si elle n’est pas nécessaire et considérer les clés limitées à une boutique comme ayant une portée globale.
PrestaShop
IdentifiantCVE-2026-71531
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif9.2.1; 8.2.9
Analyse technique
Les paramètres id_shop=all ou id_shop_group étendaient le contexte sans vérifier l’association de la clé aux boutiques concernées.
Impact, versions et correctif
Événement datéAvis GitHub publié le 2026-11-09; date incluse dans la période demandée.
ImpactUne clé de portée limitée pouvait lire, modifier ou supprimer des données d’autres boutiques selon ses permissions.
Versions affectées>= 9.0.0, < 9.2.1; >= 8.0.0, < 8.2.9
Version corrigée9.2.1; 8.2.9
ContournementDésactiver l’API Webservice si elle n’est pas utilisée; considérer toute clé restreinte à une boutique comme valable pour toutes les boutiques jusqu’à la mise à niveau.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.1
Publication2026-11-09T12:35:02Z
Mise à jour2026-11-09T12:35:02Z
Action recommandée
Mettre à niveau vers 9.2.1 ou 8.2.9; désactiver l’API si elle n’est pas utilisée d’ici là.
Sources
Priorisation DFS : P3 · 1 source(s).