Veille sécuritéCMS & e-commerce
P3Élevée
Un fichier SVG contenant du JavaScript pouvait être téléversé par un employé autorisé via le gestionnaire de fichiers ou l’outil d’envoi de logo, puis exécuté depuis l’origine de la boutique lorsqu’un employé plus privilégié l’ouvrait. Mettre à niveau vers une version corrigée et limiter ces droits d’envoi aux employés de confiance.
PrestaShop
IdentifiantGHSA-99CP-C6MM-P7H5
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif9.2.1; 8.2.9
Analyse technique
XSS stockée via SVG exécuté sur l’origine de la boutique; un script pouvait agir dans la session du back-office d’un employé plus privilégié.
Impact, versions et correctif
Événement datéAvis GitHub publié le 2026-11-09; date incluse dans la période demandée.
ImpactUn attaquant disposant des droits de téléversement pouvait fournir un SVG exécutant du JavaScript dans la session back-office d’un employé plus privilégié.
Versions affectées>= 9.0.0, < 9.2.1; >= 8.0.0, < 8.2.9
Version corrigée9.2.1; 8.2.9
ContournementLimiter les droits du gestionnaire de fichiers et de l’envoi de logo aux employés de confiance.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.7
Publication2026-11-09T12:35:09Z
Mise à jour2026-11-09T12:35:09Z
Action recommandée
Mettre à niveau PrestaShop vers 9.2.1 ou 8.2.9; restreindre les droits d’envoi concernés.
Sources
Priorisation DFS : P3 · 1 source(s).