Veille sécuritéCMS & e-commerce
P3Élevée
Un employé du back-office autorisé à importer des thèmes pouvait exploiter l’import depuis le Web pour déposer un fichier exécutable dans un répertoire accessible au serveur, permettant l’exécution de code. Mettre à niveau et réserver l’importation de thèmes à des personnes de confiance; privilégier l’import d’une archive locale.
PrestaShop
IdentifiantGHSA-95W6-V2WQ-CV8W
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif9.2.1; 8.2.9
Analyse technique
Le fichier téléchargé depuis l’URL fournie était écrit dans le répertoire du back-office avant la vérification d’extension, et n’était pas supprimé ensuite.
Impact, versions et correctif
Événement datéAvis GitHub publié le 2026-11-09; date incluse dans la période demandée.
ImpactUn employé autorisé à importer des thèmes pouvait faire exécuter du code avec les privilèges du serveur web.
Versions affectées>= 9.0.0, < 9.2.1; >= 8.0.0, < 8.2.9
Version corrigée9.2.1; 8.2.9
ContournementRestreindre le droit d’import de thèmes aux employés de confiance et importer une archive locale plutôt qu’une URL.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2
Publication2026-11-09T12:35:08Z
Mise à jour2026-11-09T12:35:08Z
Action recommandée
Mettre à niveau vers 9.2.1 ou 8.2.9 et restreindre les droits d’import de thèmes.
Sources
Priorisation DFS : P3 · 1 source(s).