1.7.8.11 è l'ultima versione pubblicata del ramo 1.7. Queste vulnerabilità sono state corrette da PrestaShop in versioni successive e mai riportate indietro. Aggiornare il ramo fino in fondo non le chiude.
Un segno per falla — 18 su 20 sono neutralizzate da noi.
| Gravità | Vulnerabilità | Corretta da PrestaShop |
Bloccata dal firewall |
Patch PrestaSecure |
|---|---|---|---|---|
| Critica | CVE-2026-44212 Unauthenticated stored XSS in AdminCustomerThreads via Contact Us form (PS 1.7 / 8.x) Corretta a monte in 8.2.6 | × non sul suo ramo | ✓ confermato | ✓ disponibile |
| Elevata | CVE-2026-33673 PrestaShop has multiple stored XSS vulnerabilities via unprotected Template variables Corretta a monte in 8.2.5 | × non sul suo ramo | ✓ confermato | – |
| Elevata | senza riferimento CVE CSV Formula Injection in exports (GHSA-w6j9-q9rq-wrqg) Corretta a monte in 8.2.8 | × non sul suo ramo | ? non valutato | ✓ disponibile |
| Elevata | senza riferimento CVE X-Forwarded-For IP spoofing (GHSA-2cr4-vw9p-pjvf) Corretta a monte in 8.2.8 | × non sul suo ramo | ? non valutato | ✓ disponibile |
| Elevata | senza riferimento CVE PrestaShop core — SSRF via import image URL (copyImg -> Tools::copy) Corretta a monte in 8.2.8 | × non sul suo ramo | ? non valutato | ✓ disponibile |
| Elevata | senza riferimento CVE PrestaShop core — CSV formula injection dans l'export legacy (AdminController::processExport) Corretta a monte in 99.0.0 | × non sul suo ramo | ? non valutato | ✓ disponibile |
| Media | CVE-2023-25170 Possible CSRF token fixation Corretta a monte in 8.0.1 | × non sul suo ramo | × fuori portata | – |
| Media | CVE-2023-39524 PrestaShop boolean SQL injection Corretta a monte in 8.1.0 | × non sul suo ramo | ✓ confermato | – |
| Media | CVE-2023-39525 PrestaShop path traversal Corretta a monte in 8.1.0 | × non sul suo ramo | ✓ confermato | – |
| Media | CVE-2023-39528 PrestaShop file access through path traversal Corretta a monte in 8.1.0 | × non sul suo ramo | ✓ confermato | – |
| Media | CVE-2023-39529 PrestaShop file deletion via attachment API Corretta a monte in 8.1.0 | × non sul suo ramo | ✓ confermato | – |
| Media | CVE-2023-39530 PrestaShop file deletion via CustomerMessage Corretta a monte in 8.1.0 | × non sul suo ramo | ✓ confermato | – |
| Media | CVE-2023-43663 PrestaShop allows users to uninstall modules from backoffice, even with low rights Corretta a monte in 8.1.2 | × non sul suo ramo | ? non valutato | ✓ disponibile |
| Media | CVE-2023-43664 PrestaShop allows employee without any access rights to list all installed modules Corretta a monte in 8.1.2 | × non sul suo ramo | ? non valutato | ✓ disponibile |
| Media | CVE-2024-21628 PrestaShop XSS can be stored in DB from "add a message form" in order detail page (FO) Corretta a monte in 8.1.3 | × non sul suo ramo | ✓ confermato | – |
| Media | CVE-2025-51586 Presta Shop vulnerable to email enumeration Corretta a monte in 8.2.3 | × non sul suo ramo | ? non valutato | ✓ disponibile |
| Media | CVE-2026-25597 PrestaShop affected by time based enumeration in FO login form Corretta a monte in 8.2.4 | × non sul suo ramo | ? non valutato | ✓ disponibile |
| Media | senza riferimento CVE SQL injection via BO list filters (GHSA-whxq-pxj5-qq7v) Corretta a monte in 8.2.8 | × non sul suo ramo | ? non valutato | ✓ disponibile |
| Media | senza riferimento CVE BO notifications improper access control (GHSA-jf3w-9rmr-5rcr) Corretta a monte in 8.2.8 | × non sul suo ramo | ? non valutato | ✓ disponibile |
| Bassa | CVE-2026-33674 PrestaShop: Improper Use of Validation Framework Corretta a monte in 8.2.5 | × non sul suo ramo | ? non valutato | – |
48 vulnerabilità trovate dai nostri team su moduli commerciali, distribuite su 41 moduli diversi. Nessuna ha un riferimento CVE pubblico: non esistono da nessun'altra parte.
Non pubblichiamo né il nome del modulo, né il vettore, né il modo di sfruttarle. L'editore non ha sempre rilasciato una correzione, e il dettaglio esporrebbe tutti i negozi interessati — compresi quelli che non sono nostri clienti. I nostri clienti sono protetti senza attendere che la falla diventi pubblica.
Modulo interessato: · Vettore:
Aggiornato per il suo ramo, sì. Al sicuro, no: le falle elencate qui sono state corrette nelle linee 8 e 9 e mai riportate su 1.7.8. Arrivare in fondo al suo ramo non le chiude.
È il modo più completo di chiuderle, ma non l'unico: le nostre patch ne chiudono una parte senza cambio di versione, e il firewall blocca l'attacco su altre. Migrare da 1.7 è un progetto — tema, moduli e dati devono seguire — quindi va preparato, e nel frattempo non resta senza protezione.
Perché non abbiamo ancora verificato la loro copertura. Preferiamo scriverlo piuttosto che mostrare una protezione non verificata. Una falla marcata «confermato» ha superato un test di blocco reale.
Nettamente. I rami da 1.7.0 a 1.7.7 portano una ventina di falle in più rispetto a 1.7.8. Se si trova lì, salire almeno a 1.7.8.11 chiude già buona parte del rischio.
Nessun aggiornamento del suo ramo le correggerà: sono definitive. Le nostre patch ne chiudono una parte senza cambio di versione, il nostro firewall blocca l’attacco su altre. Confronti le tre offerte per vedere quale copre la sua situazione.
Installazione in 2 minuti. Soddisfatti o rimborsati entro 14 giorni, senza condizioni.
La maggior parte di questo catalogo proviene dal monitoraggio di FriendsOfPresta e dalla base GitHub Advisory. Li colleghiamo alle versioni realmente interessate, scriviamo le patch mancanti e testiamo ciò che il nostro firewall blocca.
