Veille sécuritéCMS & e-commerce
P3Élevée
L’état désactivé d’un client de l’Admin API n’empêchait pas l’émission de nouveaux jetons, et les jetons déjà émis ne pouvaient pas être révoqués par ce mécanisme. Mettre à niveau; à défaut, supprimer le client API ou renouveler son secret plutôt que de simplement le désactiver.
PrestaShop
IdentifiantGHSA-6C2J-PGWM-95M9
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif9.2.1
Analyse technique
La désactivation du client n’était pas prise en compte lors de l’émission des jetons et n’invalidait pas les jetons existants.
Impact, versions et correctif
Événement datéAvis GitHub publié le 2026-11-09; date incluse dans la période demandée.
ImpactToute personne détenant les identifiants du client API pouvait conserver ou obtenir un accès avec les portées associées.
Versions affectées>= 9.0.0, < 9.2.1
Version corrigée9.2.1
ContournementSupprimer le client API ou régénérer son secret au lieu de le désactiver seulement; garder les durées de vie des jetons courtes.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.1
Publication2026-11-09T12:35:04Z
Mise à jour2026-11-09T12:35:04Z
Action recommandée
Mettre à niveau vers 9.2.1; supprimer les clients exposés ou renouveler leurs secrets en attendant.
Sources
Priorisation DFS : P3 · 1 source(s).