1.6.1.24 è l'ultima versione pubblicata del ramo 1.6. Queste vulnerabilità sono state corrette da PrestaShop in versioni successive e mai riportate indietro. Aggiornare il ramo fino in fondo non le chiude.
Un segno per falla — 16 su 23 sono neutralizzate da noi.
| Gravità | Vulnerabilità | Corretta da PrestaShop |
Bloccata dal firewall |
Patch PrestaSecure |
|---|---|---|---|---|
| Critica | CVE-2022-31181 PrestaShop eval injection possible if shop vulnerable to SQL injection Corretta a monte in 1.7.8.7 | × non sul suo ramo | ? non valutato | ✓ disponibile |
| Critica | CVE-2022-36408 CVE-2022-36408 Corretta a monte in 1.7.8.2 | × non sul suo ramo | ≈ parziale | ✓ disponibile |
| Critica | CVE-2023-30839 SQL filter bypass leading to arbitrary write requests using "SQL Manager" Corretta a monte in 1.7.8.9 | × non sul suo ramo | ? non valutato | – |
| Critica | CVE-2023-39526 PrestaShop SQL manager vulnerability Corretta a monte in 1.7.8.10 | × non sul suo ramo | ? non valutato | – |
| Critica | CVE-2026-44212 PrestaShop has a stored XSS executable in customer service view Corretta a monte in 8.2.6 | × non sul suo ramo | ? non valutato | ✓ disponibile |
| Elevata | CVE-2018-20717 PrestaShop PHP Object Injection Corretta a monte in 1.7.2.5 | × non sul suo ramo | × fuori portata | ✓ disponibile |
| Elevata | CVE-2023-30545 Arbitrary file read via SQL injection Corretta a monte in 1.7.8.9 | × non sul suo ramo | ? non valutato | – |
| Elevata | CVE-2023-30838 Possible XSS injection through Validate::isCleanHTML method Corretta a monte in 1.7.8.9 | × non sul suo ramo | ? non valutato | ✓ disponibile |
| Elevata | CVE-2023-39527 PrestaShop XSS injection through Validate::isCleanHTML method Corretta a monte in 1.7.8.10 | × non sul suo ramo | ? non valutato | ✓ disponibile |
| Elevata | CVE-2024-21627 PrestaShop some attribute not escaped in Validate::isCleanHTML method Corretta a monte in 1.7.8.11 | × non sul suo ramo | ? non valutato | – |
| Elevata | CVE-2026-33673 PrestaShop has multiple stored XSS vulnerabilities via unprotected Template variables Corretta a monte in 8.2.5 | × non sul suo ramo | ✓ confermato | – |
| Elevata | senza riferimento CVE X-Forwarded-For IP spoofing (GHSA-2cr4-vw9p-pjvf) Corretta a monte in 8.2.8 | × non sul suo ramo | ? non valutato | ✓ disponibile |
| Elevata | senza riferimento CVE PrestaShop core — SSRF via import image URL (copyImg -> Tools::copy) Corretta a monte in 8.2.8 | × non sul suo ramo | ? non valutato | ✓ disponibile |
| Elevata | senza riferimento CVE PrestaShop core — CSV formula injection dans l'export legacy (AdminController::processExport) Corretta a monte in 99.0.0 | × non sul suo ramo | ? non valutato | ✓ disponibile |
| Media | CVE-2023-39528 PrestaShop file access through path traversal Corretta a monte in 8.1.0 | × non sul suo ramo | ✓ confermato | – |
| Media | CVE-2023-39529 PrestaShop file deletion via attachment API Corretta a monte in 8.1.0 | × non sul suo ramo | ✓ confermato | – |
| Media | CVE-2023-39530 PrestaShop file deletion via CustomerMessage Corretta a monte in 8.1.0 | × non sul suo ramo | ✓ confermato | – |
| Media | CVE-2023-43663 PrestaShop allows users to uninstall modules from backoffice, even with low rights Corretta a monte in 8.1.2 | × non sul suo ramo | ? non valutato | ✓ disponibile |
| Media | CVE-2023-43664 PrestaShop allows employee without any access rights to list all installed modules Corretta a monte in 8.1.2 | × non sul suo ramo | ? non valutato | ✓ disponibile |
| Media | CVE-2024-21628 PrestaShop XSS can be stored in DB from "add a message form" in order detail page (FO) Corretta a monte in 8.1.3 | × non sul suo ramo | ✓ confermato | – |
| Media | CVE-2025-51586 Presta Shop vulnerable to email enumeration Corretta a monte in 8.2.3 | × non sul suo ramo | ? non valutato | – |
| Media | CVE-2026-25597 PrestaShop affected by time based enumeration in FO login form Corretta a monte in 8.2.4 | × non sul suo ramo | ? non valutato | – |
| Bassa | CVE-2026-33674 PrestaShop: Improper Use of Validation Framework Corretta a monte in 8.2.5 | × non sul suo ramo | ? non valutato | – |
48 vulnerabilità trovate dai nostri team su moduli commerciali, distribuite su 41 moduli diversi. Nessuna ha un riferimento CVE pubblico: non esistono da nessun'altra parte.
Non pubblichiamo né il nome del modulo, né il vettore, né il modo di sfruttarle. L'editore non ha sempre rilasciato una correzione, e il dettaglio esporrebbe tutti i negozi interessati — compresi quelli che non sono nostri clienti. I nostri clienti sono protetti senza attendere che la falla diventi pubblica.
Modulo interessato: · Vettore:
No. Il supporto del ramo 1.6 è terminato e 1.6.1.24 ne è l'ultima versione. Le vulnerabilità elencate in questa pagina sono state corrette da PrestaShop in 1.7 e successive, ma nessuna di quelle correzioni è stata riportata indietro. Nessun aggiornamento le chiuderà.
Funzionare ed essere esposti sono due cose diverse: un negozio può funzionare perfettamente per anni restando attaccabile tramite una falla pubblicata. Diverse vulnerabilità di questa pagina sono classificate critiche. Ci sono due modi per chiuderle: migrare, oppure applicare le nostre patch — le abbiamo scritte per una parte di queste falle, e chiudono il buco nei file della versione che ha già. Il registro qui sopra indica quali, falla per falla.
Il nostro firewall blocca la richiesta di attacco prima che raggiunga il suo negozio, e le nostre patch chiudono una parte delle falle direttamente nei file. Il registro qui sopra indica, falla per falla, ciò che è coperto e ciò che non lo è.
Modifica i file del core interessati, in modo mirato e reversibile: ogni patch è preceduta da un backup e può essere annullata. Nulla viene applicato senza la sua conferma.
Sì, tutte quelle di questa pagina. Hanno un riferimento CVE e sono documentate pubblicamente. Elencarle non insegna nulla a un attaccante — sapere quali restano aperte sulla sua versione è invece utile a lei.
Nessun aggiornamento del suo ramo le correggerà: sono definitive. Le nostre patch ne chiudono una parte senza cambio di versione, il nostro firewall blocca l’attacco su altre. Confronti le tre offerte per vedere quale copre la sua situazione.
Installazione in 2 minuti. Soddisfatti o rimborsati entro 14 giorni, senza condizioni.
La maggior parte di questo catalogo proviene dal monitoraggio di FriendsOfPresta e dalla base GitHub Advisory. Li colleghiamo alle versioni realmente interessate, scriviamo le patch mancanti e testiamo ciò che il nostro firewall blocca.
