1.7.8.11 ist die letzte veröffentlichte Version des Zweigs 1.7. Diese Schwachstellen wurden von PrestaShop in späteren Versionen behoben und nie zurückportiert. Ihren Zweig bis zum Ende zu aktualisieren schließt sie nicht.
Eine Markierung pro Lücke — 18 von 20 sind bei uns neutralisiert.
| Schweregrad | Schwachstelle | Behoben von PrestaShop |
Blockiert von der Firewall |
PrestaSecure- Patch |
|---|---|---|---|---|
| Kritisch | CVE-2026-44212 Unauthenticated stored XSS in AdminCustomerThreads via Contact Us form (PS 1.7 / 8.x) Upstream behoben in 8.2.6 | × nicht auf Ihrem Zweig | ✓ bestätigt | ✓ verfügbar |
| Hoch | CVE-2026-33673 PrestaShop has multiple stored XSS vulnerabilities via unprotected Template variables Upstream behoben in 8.2.5 | × nicht auf Ihrem Zweig | ✓ bestätigt | – |
| Hoch | ohne CVE-Referenz CSV Formula Injection in exports (GHSA-w6j9-q9rq-wrqg) Upstream behoben in 8.2.8 | × nicht auf Ihrem Zweig | ? nicht bewertet | ✓ verfügbar |
| Hoch | ohne CVE-Referenz X-Forwarded-For IP spoofing (GHSA-2cr4-vw9p-pjvf) Upstream behoben in 8.2.8 | × nicht auf Ihrem Zweig | ? nicht bewertet | ✓ verfügbar |
| Hoch | ohne CVE-Referenz PrestaShop core — SSRF via import image URL (copyImg -> Tools::copy) Upstream behoben in 8.2.8 | × nicht auf Ihrem Zweig | ? nicht bewertet | ✓ verfügbar |
| Hoch | ohne CVE-Referenz PrestaShop core — CSV formula injection dans l'export legacy (AdminController::processExport) Upstream behoben in 99.0.0 | × nicht auf Ihrem Zweig | ? nicht bewertet | ✓ verfügbar |
| Mittel | CVE-2023-25170 Possible CSRF token fixation Upstream behoben in 8.0.1 | × nicht auf Ihrem Zweig | × außerhalb der Reichweite | – |
| Mittel | CVE-2023-39524 PrestaShop boolean SQL injection Upstream behoben in 8.1.0 | × nicht auf Ihrem Zweig | ✓ bestätigt | – |
| Mittel | CVE-2023-39525 PrestaShop path traversal Upstream behoben in 8.1.0 | × nicht auf Ihrem Zweig | ✓ bestätigt | – |
| Mittel | CVE-2023-39528 PrestaShop file access through path traversal Upstream behoben in 8.1.0 | × nicht auf Ihrem Zweig | ✓ bestätigt | – |
| Mittel | CVE-2023-39529 PrestaShop file deletion via attachment API Upstream behoben in 8.1.0 | × nicht auf Ihrem Zweig | ✓ bestätigt | – |
| Mittel | CVE-2023-39530 PrestaShop file deletion via CustomerMessage Upstream behoben in 8.1.0 | × nicht auf Ihrem Zweig | ✓ bestätigt | – |
| Mittel | CVE-2023-43663 PrestaShop allows users to uninstall modules from backoffice, even with low rights Upstream behoben in 8.1.2 | × nicht auf Ihrem Zweig | ? nicht bewertet | ✓ verfügbar |
| Mittel | CVE-2023-43664 PrestaShop allows employee without any access rights to list all installed modules Upstream behoben in 8.1.2 | × nicht auf Ihrem Zweig | ? nicht bewertet | ✓ verfügbar |
| Mittel | CVE-2024-21628 PrestaShop XSS can be stored in DB from "add a message form" in order detail page (FO) Upstream behoben in 8.1.3 | × nicht auf Ihrem Zweig | ✓ bestätigt | – |
| Mittel | CVE-2025-51586 Presta Shop vulnerable to email enumeration Upstream behoben in 8.2.3 | × nicht auf Ihrem Zweig | ? nicht bewertet | ✓ verfügbar |
| Mittel | CVE-2026-25597 PrestaShop affected by time based enumeration in FO login form Upstream behoben in 8.2.4 | × nicht auf Ihrem Zweig | ? nicht bewertet | ✓ verfügbar |
| Mittel | ohne CVE-Referenz SQL injection via BO list filters (GHSA-whxq-pxj5-qq7v) Upstream behoben in 8.2.8 | × nicht auf Ihrem Zweig | ? nicht bewertet | ✓ verfügbar |
| Mittel | ohne CVE-Referenz BO notifications improper access control (GHSA-jf3w-9rmr-5rcr) Upstream behoben in 8.2.8 | × nicht auf Ihrem Zweig | ? nicht bewertet | ✓ verfügbar |
| Niedrig | CVE-2026-33674 PrestaShop: Improper Use of Validation Framework Upstream behoben in 8.2.5 | × nicht auf Ihrem Zweig | ? nicht bewertet | – |
48 Schwachstellen, die unser Team selbst in kommerziellen Modulen gefunden hat, verteilt auf 41 verschiedene Module. Keine trägt eine öffentliche CVE-Referenz: sie existieren nirgendwo sonst.
Wir veröffentlichen weder den Modulnamen noch den Vektor noch die Art der Ausnutzung. Der Anbieter hat nicht immer eine Korrektur geliefert, und das Detail würde jeden Shop mit diesen Modulen aussetzen — auch solche, die nicht unsere Kunden sind. Unsere Kunden sind geschützt, ohne auf die Veröffentlichung der Lücke zu warten.
Betroffenes Modul: · Vektor:
Aktuell für Ihren Zweig, ja. Sicher, nein: die hier gelisteten Lücken wurden in den Linien 8 und 9 behoben und nie auf 1.7.8 zurückportiert. Bis zum Ende Ihres Zweigs zu gehen schließt sie nicht.
Das ist der vollständigste Weg, sie zu schließen, aber nicht der einzige: unsere Patches schließen einen Teil davon ohne Versionswechsel, und die Firewall blockiert den Angriff bei anderen. Eine Migration von 1.7 ist ein Projekt — Theme, Module und Daten müssen mitziehen — und will vorbereitet sein; ungeschützt sind Sie in der Zwischenzeit nicht.
Weil wir ihre Abdeckung noch nicht geprüft haben. Wir schreiben das lieber, als einen ungeprüften Schutz anzuzeigen. Eine als „bestätigt“ markierte Lücke hat einen echten Blockiertest durchlaufen.
Deutlich. Die Zweige 1.7.0 bis 1.7.7 tragen rund zwanzig zusätzliche Lücken gegenüber 1.7.8. Wenn Sie dort stehen, schließt allein der Sprung auf 1.7.8.11 bereits einen guten Teil des Risikos.
Kein Update Ihres Zweigs wird sie beheben: sie sind endgültig. Unsere Patches schließen einen Teil davon ohne Versionswechsel, unsere Firewall blockiert den Angriff bei anderen. Vergleichen Sie die drei Pakete, um zu sehen, welches Ihre Lage abdeckt.
Installation in 2 Minuten. 14 Tage Geld-zurück-Garantie, ohne Bedingungen.
Der größte Teil dieses Katalogs stammt aus der Beobachtung von FriendsOfPresta und der Datenbank GitHub Advisory. Wir ordnen sie den tatsächlich betroffenen Versionen zu, schreiben die fehlenden Patches und testen, was unsere Firewall blockiert.
