Zaloguj się
Deutsch English Español Polski
Średnia

Anonymous PrestaShop customer can download other customers' invoices

  • Ujawniono: 14.05.2024
  • Aktualizacja: 11.10.2026 10:22

Impact

Since PrestaShop 8.1.5, any invoice can be downloaded from front-office in anonymous mode, by supplying a random secure_key parameter in the url.

Patches

Patched in 8.1.6

Workarounds

Upgrade to 8.1.6

Thank you to Samuel Bodevin, who found this vulnerability and shared it with the PrestaShop team.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka Composer prestashop/prestashop >= 8.1.5, < 8.1.6 8.1.6
PrestaShop (rdzeń) prestashop/prestashop >= 8.1.5, < 8.1.6 8.1.6

Odnośniki

Ocena CVSS 5.3/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
Słabość (CWE)
CWE-200
Platforma
Composer, PrestaShop
Paczka
prestashop/prestashop
Ujawniono
14.05.2024
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-7pjr-2rgh-fc5g - CC BY 4.0

Historia podatności: prestashop/prestashop

Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (31) w archiwum
Wszystkich wpisów
31
Pierwsza → ostatnia
12.2021 05.2026
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 5
  • Wysoka 8
  • Średnia 17
  • Niska 1

Ujawnienia w latach

Istotność:
  1. PrestaShop has a stored XSS executable in customer service view
    Krytyczna · 9.3 CVE-2026-44212 < 8.2.6, >= 9.0.0, < 9.1.1 8.2.6, 9.1.1
  2. PrestaShop has multiple stored XSS vulnerabilities via unprotected Template variables
    Wysoka · 7.6 CVE-2026-33673 >= 9.0.0-alpha.1, < 9.1.0, < 8.2.5 9.1.0, 8.2.5
  3. Anonymous PrestaShop customer can download other customers' invoices ten wpis
    Średnia · 5.3 CVE-2024-34717 >= 8.1.5, < 8.1.6 8.1.6
  4. PrestaShop cross-site scripting via customer contact form in FO, through file upload
    Krytyczna · 9.6 CVE-2024-34716 >= 8.1.0, < 8.1.6 8.1.6
  5. PrestaShop some attribute not escaped in Validate::isCleanHTML method
    Wysoka · 8.1 CVE-2024-21627 >= 8.0.0-beta.1, < 8.1.3, < 1.7.8.11 8.1.3, 1.7.8.11
  6. Possible XSS injection through Validate::isCleanHTML method
    Wysoka · 8.3 CVE-2023-39527 >= 8.1.0, < 8.1.1, >= 8.0.0, < 8.0.5, < 1.7.8.10 8.1.1, 8.0.5, 1.7.8.10
  7. [CVE-2023-39529][CVE-2023-39530] path traversal: file deletion in the backoffice
    Wysoka · 6.7 CVE-2023-39525 < 8.1.1 8.1.1
  8. Reading a file through path traversal & Remote Code Execution via unsafe deserialization
    Krytyczna · 9.1 CVE-2023-39528 < 8.1.1 8.1.1
  9. Chain: SQL Injection (CWE-89) and Eval Injection (CWE-95)
    Krytyczna · 9.8 CVE-2022-31181 >= 1.6.0.10, < 1.7.8.7 1.7.8.7
  10. PrestaShop PHP Object Injection
    Wysoka · 8.8 CVE-2018-20717 < 1.7.2.5 1.7.2.5
  11. SQL filter bypass leading to arbitrary write requests using SQL Manager [DEBATE RUNNING ABOUT SCORING FROM PS CORE]
    Wysoka · 8.8 CVE-2023-30839 >= 8.0.0, < 8.0.4, < 1.7.8.9 8.0.4, 1.7.8.9
  12. Possible XSS injection through Validate::isCleanHTML method
    Wysoka · 8.0 CVE-2023-30838 >= 8.0.0, < 8.0.4, < 1.7.8.9 8.0.4, 1.7.8.9
  13. Server Side Twig Template Injection
    Krytyczna · 9.0 CVE-2022-21686 >= 1.7.0.0, < 1.7.8.3 1.7.8.3
  14. SQL injection in prestashop/prestashop
    Wysoka · 7.5 CVE-2021-43789 >= 1.7.5.0, < 1.7.8.2 1.7.8.2

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.