Veille sécuritéCMS & e-commerce
P3Élevée
Un client de l’Admin API possédant le droit api_client_write pouvait s’attribuer d’autres portées installées, dont celles permettant l’écriture de modules ou de comptes clients. Mettre à niveau vers 9.2.1 et vérifier les portées accordées aux clients API existants.
PrestaShop
IdentifiantAvis de sécurité
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif9.2.1
Source : Avis PrestaShop GHSA-p292-3rh4-vm4p
Analyse technique
L’exploitation nécessite les identifiants d’un client API déjà autorisé à écrire des clients API. Une portée d’écriture de modules peut mener à l’exécution de code côté serveur.
Impact, versions et correctif
Événement datéAvis publié le 2026-11-09 à 12:35:16Z (14:35:16 +02:00), dans la période.
ImpactAttribution de portées supplémentaires, pouvant conduire à l’exécution de code ou à la prise de contrôle de comptes clients.
Versions affectées>= 9.0.0, < 9.2.1
Version corrigée9.2.1
ContournementN’accorder api_client_write qu’à des clients de confiance pour toutes les portées; revoir et réduire les portées existantes.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.8
Publication2026-11-09T12:35:16Z
Mise à jour2026-11-09T12:35:16Z
Action recommandée
Mettre à niveau vers PrestaShop 9.2.1 et auditer les portées des clients API.
Sources
Priorisation DFS : P3 · 1 source(s).