PrestaShop : dix-huit failles de sécurité corrigées en 9.2.1

En bref

• Produit : PrestaShop (cœur de la plateforme e-commerce).
• Versions affectées : de 9.0.0 jusqu'à 9.2.1 exclue ; la branche précédente est également touchée par la plupart des failles (correctif en 8.2.9).
• Version corrigée : 9.2.1 (et 8.2.9 pour la plupart des failles sur la branche précédente).
• Sévérité : élevée, score CVSS le plus haut de 8.8 parmi les avis publiés.
• CVE : aucun identifiant CVE attribué à ce stade, avis publiés sous identifiants GitHub (GHSA).
• Exploitation active : inconnu.
• Date de l'avis : 9 novembre 2026.

L'équipe PrestaShop a publié une version de sécurité qui corrige dix-huit vulnérabilités signalées en divulgation coordonnée, dont quinze classées de gravité élevée. Selon l'éditeur, plusieurs d'entre elles peuvent être exploitées sans aucun compte sur la boutique. La version embarque aussi deux modules mis à jour (newsletter et RGPD), deux corrections de bugs du back-office et des dépendances actualisées. L'éditeur recommande de mettre à jour le plus tôt possible.

Parmi les failles les plus sérieuses :

• une traversée de répertoire sur les pièces jointes, notée 8.5, qui pouvait permettre de télécharger des fichiers hors du dossier prévu, dont la configuration de la boutique avec ses identifiants de base de données, et d'en supprimer ;
• une élévation de privilèges dans l'API d'administration, notée 8.8 : un client d'API disposant d'un certain droit d'écriture pouvait s'attribuer tous les autres, jusqu'à l'exécution de code sur le serveur ;
• deux failles de l'installateur, notées 8.1, qui ne concernent que les boutiques dont le dossier d'installation est resté présent sur le serveur : exécution de code à distance sans authentification, ou relance de l'assistant d'installation permettant de lire les identifiants de base de données et d'écraser la configuration.

Les autres avis portent notamment sur des contournements d'autorisation dans le back-office, des conditions de concurrence au moment de la commande (bons de réduction utilisés plusieurs fois, commandes dupliquées), un jeton de réinitialisation de mot de passe prévisible et plusieurs chemins d'exécution de code réservés à des employés du back-office disposant de droits spécifiques.

Qui est concerné ?

Toutes les boutiques PrestaShop de la branche 9 dans une version antérieure à 9.2.1. Les boutiques de la branche précédente sont concernées par la plupart des failles, corrigées en 8.2.9 ; certaines failles, comme celles de l'API d'administration, ne sont corrigées qu'en 9.2.1. Les boutiques dont le dossier d'installation n'a pas été supprimé après la mise en ligne sont les plus exposées, puisque les deux failles de l'installateur sont exploitables sans compte. Les boutiques qui délèguent des droits du back-office, du Webservice ou de l'API d'administration à des tiers ou à des intégrations sont également concernées au premier chef.

Que faire ?

• Mettre à jour vers PrestaShop 9.2.1, ou vers 8.2.9 si la boutique reste sur la branche précédente, après une sauvegarde complète et un test en préproduction.
• Vérifier que le dossier d'installation a bien été supprimé du serveur.
• Dans l'attente de la mise à jour, restreindre les droits du Webservice, de l'API d'administration et des employés du back-office aux seuls comptes de confiance, comme le recommande l'éditeur.
• Vérifier les journaux du serveur et du back-office à la recherche d'accès ou de modifications inhabituels (comptes administrateurs inconnus, fichiers modifiés, clients d'API créés).
• En cas de compromission avérée, restaurer une sauvegarde saine antérieure à l'incident, puis renouveler les identifiants de base de données, les clés secrètes et les accès d'API.

Chez Sentinelo, les mises à jour du cœur PrestaShop sont signalées mais jamais appliquées automatiquement.

Sources

• Annonce officielle de PrestaShop 9.2.1 (PrestaShop Project)
• Avis GHSA-wrmc-gmx5-9hhc : traversée de répertoire sur les pièces jointes
• Avis GHSA-p292-3rh4-vm4p : élévation de privilèges dans l'API d'administration
• Avis GHSA-h2q4-7fp7-m5jp : exécution de code via l'installateur
• Avis GHSA-8rxw-79mh-gmm5 : relance de l'installateur