1.7.8.11 ist die letzte veröffentlichte Version des Zweigs 1.7. Diese Schwachstellen wurden von PrestaShop in späteren Versionen behoben und nie zurückportiert. Ihren Zweig bis zum Ende zu aktualisieren schließt sie nicht.
Eine Markierung pro Lücke — 18 von 19 sind bei uns neutralisiert.
| Schweregrad | Schwachstelle | Behoben von PrestaShop |
Blockiert von der Firewall |
PrestaSecure- Patch |
|---|---|---|---|---|
| Kritisch | CVE-2026-44212 PrestaShop has a stored XSS executable in customer service view Upstream behoben in 8.2.6 | × nicht auf Ihrem Zweig | ✓ bestätigt | ✓ verfügbar |
| Hoch | CVE-2026-33673 PrestaShop has multiple stored XSS vulnerabilities via unprotected Template variables Upstream behoben in 8.2.5 | × nicht auf Ihrem Zweig | ✓ bestätigt | ✓ verfügbar |
| Hoch | ohne CVE-Referenz Formula injection in CSV exports (CSV injection) Upstream behoben in 8.2.8 | × nicht auf Ihrem Zweig | ? nicht bewertet | ✓ verfügbar |
| Hoch | ohne CVE-Referenz Client IP address can be spoofed through the X-Forwarded-For header Upstream behoben in 8.2.8 | × nicht auf Ihrem Zweig | ? nicht bewertet | ✓ verfügbar |
| Hoch | ohne CVE-Referenz Server-Side Request Forgery through image URLs in the CSV import Upstream behoben in 8.2.8 | × nicht auf Ihrem Zweig | ? nicht bewertet | ✓ verfügbar |
| Hoch | ohne CVE-Referenz Von PrestaSecure entdeckte Schwachstelle, nicht veröffentlicht | × nicht auf Ihrem Zweig | ? nicht bewertet | ✓ verfügbar |
| Hoch | ohne CVE-Referenz Von PrestaSecure entdeckte Schwachstelle, nicht veröffentlicht | × nicht auf Ihrem Zweig | ? nicht bewertet | ✓ verfügbar |
| Mittel | CVE-2023-25170 Possible CSRF token fixation Upstream behoben in 8.0.1 | × nicht auf Ihrem Zweig | × außerhalb der Reichweite | – |
| Mittel | CVE-2023-39525 PrestaShop path traversal Upstream behoben in 8.1.1 | × nicht auf Ihrem Zweig | ✓ bestätigt | ✓ verfügbar |
| Mittel | CVE-2023-39528 PrestaShop file access through path traversal Upstream behoben in 8.1.1 | × nicht auf Ihrem Zweig | ✓ bestätigt | ✓ verfügbar |
| Mittel | CVE-2023-39529 PrestaShop file deletion via attachment API Upstream behoben in 8.1.1 | × nicht auf Ihrem Zweig | ✓ bestätigt | ✓ verfügbar |
| Mittel | CVE-2023-39530 PrestaShop file deletion via CustomerMessage Upstream behoben in 8.1.1 | × nicht auf Ihrem Zweig | ✓ bestätigt | ✓ verfügbar |
| Mittel | CVE-2023-43663 PrestaShop allows users to uninstall modules from backoffice, even with low rights Upstream behoben in 8.1.2 | × nicht auf Ihrem Zweig | ? nicht bewertet | ✓ verfügbar |
| Mittel | CVE-2023-43664 PrestaShop allows employee without any access rights to list all installed modules Upstream behoben in 8.1.2 | × nicht auf Ihrem Zweig | ? nicht bewertet | ✓ verfügbar |
| Mittel | CVE-2025-51586 Presta Shop vulnerable to email enumeration Upstream behoben in 8.2.3 | × nicht auf Ihrem Zweig | ? nicht bewertet | ✓ verfügbar |
| Mittel | CVE-2026-25597 PrestaShop affected by time based enumeration in FO login form Upstream behoben in 8.2.4 | × nicht auf Ihrem Zweig | ? nicht bewertet | ✓ verfügbar |
| Mittel | ohne CVE-Referenz SQL injection through back-office list filters Upstream behoben in 8.2.8 | × nicht auf Ihrem Zweig | ? nicht bewertet | ✓ verfügbar |
| Mittel | ohne CVE-Referenz Improper access control on the back-office notifications endpoint exposes customer data Upstream behoben in 8.2.8 | × nicht auf Ihrem Zweig | ? nicht bewertet | ✓ verfügbar |
| Niedrig | CVE-2026-33674 PrestaShop: Improper Use of Validation Framework Upstream behoben in 8.2.5 | × nicht auf Ihrem Zweig | ? nicht bewertet | ✓ verfügbar |
100 Schwachstellen, die unser Team selbst in kommerziellen Modulen gefunden hat, verteilt auf 82 verschiedene Module. Keine trägt eine öffentliche CVE-Referenz: sie existieren nirgendwo sonst.
Wir veröffentlichen weder den Modulnamen noch den Vektor noch die Art der Ausnutzung. Der Anbieter hat nicht immer eine Korrektur geliefert, und das Detail würde jeden Shop mit diesen Modulen aussetzen — auch solche, die nicht unsere Kunden sind. Unsere Kunden sind geschützt, ohne auf die Veröffentlichung der Lücke zu warten.
Betroffenes Modul: · Vektor:
Aktuell für Ihren Zweig, ja. Sicher, nein: die hier gelisteten Lücken wurden in den Linien 8 und 9 behoben und nie auf 1.7.8 zurückportiert. Bis zum Ende Ihres Zweigs zu gehen schließt sie nicht.
Das ist der vollständigste Weg, sie zu schließen, aber nicht der einzige: unsere Patches schließen einen Teil davon ohne Versionswechsel, und die Firewall blockiert den Angriff bei anderen. Eine Migration von 1.7 ist ein Projekt — Theme, Module und Daten müssen mitziehen — und will vorbereitet sein; ungeschützt sind Sie in der Zwischenzeit nicht.
Weil wir ihre Abdeckung noch nicht geprüft haben. Wir schreiben das lieber, als einen ungeprüften Schutz anzuzeigen. Eine als „bestätigt“ markierte Lücke hat einen echten Blockiertest durchlaufen.
Deutlich. Die Zweige 1.7.0 bis 1.7.7 tragen rund zwanzig zusätzliche Lücken gegenüber 1.7.8. Wenn Sie dort stehen, schließt allein der Sprung auf 1.7.8.11 bereits einen guten Teil des Risikos.
Kein Update Ihres Zweigs wird sie beheben: sie sind endgültig. Unsere Patches schließen einen Teil davon ohne Versionswechsel, unsere Firewall blockiert den Angriff bei anderen. Vergleichen Sie die drei Pakete, um zu sehen, welches Ihre Lage abdeckt.
Installation in 2 Minuten. 14 Tage Geld-zurück-Garantie, ohne Bedingungen.
Der größte Teil dieses Katalogs stammt aus der Beobachtung von FriendsOfPresta und der Datenbank GitHub Advisory. Wir ordnen sie den tatsächlich betroffenen Versionen zu, schreiben die fehlenden Patches und testen, was unsere Firewall blockiert.
