PrestaShop : faille de l'API Webservice corrigée en 9.2.1

PrestaShop a publié le 9 novembre 2026 un avis de sécurité concernant l'API Webservice du cœur de la solution. La faille, référencée CVE-2026-71519 et classée de sévérité élevée (CVSS 8.1), permet à une clé d'API rattachée à une boutique d'accéder aux fiches clients des autres boutiques d'une même installation. Elle est corrigée en version 9.2.1.

En bref

• Produit : PrestaShop (cœur, paquet prestashop/prestashop).
• Versions affectées : à partir de 9.0.0 et avant 9.2.1.
• Version corrigée : 9.2.1 (l'avis cite aussi la version 8.2.9 comme mise à jour).
• Sévérité : élevée, score CVSS 8.1.
• CVE : CVE-2026-71519.
• Exploitation active : inconnu.
• Date de l'avis : 9 novembre 2026.

De quoi s'agit-il ?

L'API Webservice de PrestaShop permet à des applications tierces (ERP, outils marketing, connecteurs logistiques…) de lire et de modifier les données d'une boutique au moyen d'une clé d'API. Dans une installation multiboutique, une clé peut être limitée à une seule boutique.

Selon l'avis de l'éditeur, la clé était bien contrôlée par rapport à la boutique indiquée dans la requête, mais la boutique à laquelle appartient réellement l'enregistrement chargé n'était jamais vérifiée. Il s'agit d'un défaut d'autorisation au niveau de l'enregistrement.

Conséquence : une clé limitée à une boutique et disposant de droits sur les clients pouvait lire n'importe quelle fiche client de l'installation, y compris l'empreinte du mot de passe et la clé de sécurité associée. Elle pouvait aussi modifier l'adresse e-mail et le mot de passe de n'importe quel client, ce qui revient à prendre le contrôle de son compte. Les opérations de suppression, de création et de mise à jour étaient affectées de la même manière.

L'exploitation suppose de disposer d'une clé d'API valide avec des droits sur les clients : le risque concerne donc surtout les installations qui confient des clés à des intégrations ou à des prestataires différents selon les boutiques.

Qui est concerné ?

Sont concernés les sites PrestaShop dont la version est comprise entre 9.0.0 et une version antérieure à 9.2.1, lorsque l'API Webservice est activée. Le risque est le plus marqué pour les installations multiboutiques où des clés d'API limitées à une boutique ont reçu des permissions sur les clients.

L'avis indique également la version 8.2.9 comme version de mise à jour ; la plage exacte des versions affectées sur cette branche est non précisée par l'éditeur. Les sites qui n'utilisent pas l'API Webservice ne sont pas exposés par ce défaut.

Aucune exploitation active n'est signalée à ce jour par les sources consultées, sans que cela permette de l'exclure.

Que faire ?

• Mettre à jour PrestaShop vers la version 9.2.1, ou vers la version 8.2.9 indiquée par l'éditeur, après une sauvegarde complète et un test sur un environnement de préproduction.
• Si la mise à jour ne peut pas être appliquée immédiatement, désactiver l'API Webservice lorsqu'elle n'est pas utilisée, comme le recommande l'éditeur.
• Passer en revue les clés d'API existantes : supprimer celles qui ne servent plus et ne donner des droits sur les clients qu'aux intégrations de pleine confiance.
• Vérifier les journaux d'accès à l'API et l'historique des comptes clients à la recherche de modifications inattendues d'adresses e-mail ou de mots de passe.
• En cas de compromission avérée, restaurer une sauvegarde saine, régénérer les clés d'API et prévenir les clients concernés selon vos obligations réglementaires.

Sources

• Avis de sécurité officiel de PrestaShop (GitHub Security Advisory)