1.7.8.11 est la dernière version publiée de la branche 1.7. Ces vulnérabilités ont été corrigées par PrestaShop dans des versions ultérieures, jamais rétroportées. Mettre à jour votre branche jusqu’au bout ne les ferme pas.
Une marque par faille — 18 sur 20 sont neutralisées chez nous.
| Sévérité | Vulnérabilité | Corrigée par PrestaShop |
Bloquée par le pare-feu |
Correctif PrestaSecure |
|---|---|---|---|---|
| Critique | CVE-2026-44212 Unauthenticated stored XSS in AdminCustomerThreads via Contact Us form (PS 1.7 / 8.x) Corrigée en amont dans 8.2.6 | × pas sur votre branche | ✓ confirmé | ✓ disponible |
| Élevée | CVE-2026-33673 PrestaShop has multiple stored XSS vulnerabilities via unprotected Template variables Corrigée en amont dans 8.2.5 | × pas sur votre branche | ✓ confirmé | – |
| Élevée | sans référence CVE CSV Formula Injection in exports (GHSA-w6j9-q9rq-wrqg) Corrigée en amont dans 8.2.8 | × pas sur votre branche | ? non évalué | ✓ disponible |
| Élevée | sans référence CVE X-Forwarded-For IP spoofing (GHSA-2cr4-vw9p-pjvf) Corrigée en amont dans 8.2.8 | × pas sur votre branche | ? non évalué | ✓ disponible |
| Élevée | sans référence CVE PrestaShop core — SSRF via import image URL (copyImg -> Tools::copy) Corrigée en amont dans 8.2.8 | × pas sur votre branche | ? non évalué | ✓ disponible |
| Élevée | sans référence CVE PrestaShop core — CSV formula injection dans l'export legacy (AdminController::processExport) Corrigée en amont dans 99.0.0 | × pas sur votre branche | ? non évalué | ✓ disponible |
| Moyenne | CVE-2023-25170 Possible CSRF token fixation Corrigée en amont dans 8.0.1 | × pas sur votre branche | × hors portée | – |
| Moyenne | CVE-2023-39524 PrestaShop boolean SQL injection Corrigée en amont dans 8.1.0 | × pas sur votre branche | ✓ confirmé | – |
| Moyenne | CVE-2023-39525 PrestaShop path traversal Corrigée en amont dans 8.1.0 | × pas sur votre branche | ✓ confirmé | – |
| Moyenne | CVE-2023-39528 PrestaShop file access through path traversal Corrigée en amont dans 8.1.0 | × pas sur votre branche | ✓ confirmé | – |
| Moyenne | CVE-2023-39529 PrestaShop file deletion via attachment API Corrigée en amont dans 8.1.0 | × pas sur votre branche | ✓ confirmé | – |
| Moyenne | CVE-2023-39530 PrestaShop file deletion via CustomerMessage Corrigée en amont dans 8.1.0 | × pas sur votre branche | ✓ confirmé | – |
| Moyenne | CVE-2023-43663 PrestaShop allows users to uninstall modules from backoffice, even with low rights Corrigée en amont dans 8.1.2 | × pas sur votre branche | ? non évalué | ✓ disponible |
| Moyenne | CVE-2023-43664 PrestaShop allows employee without any access rights to list all installed modules Corrigée en amont dans 8.1.2 | × pas sur votre branche | ? non évalué | ✓ disponible |
| Moyenne | CVE-2024-21628 PrestaShop XSS can be stored in DB from "add a message form" in order detail page (FO) Corrigée en amont dans 8.1.3 | × pas sur votre branche | ✓ confirmé | – |
| Moyenne | CVE-2025-51586 Presta Shop vulnerable to email enumeration Corrigée en amont dans 8.2.3 | × pas sur votre branche | ? non évalué | ✓ disponible |
| Moyenne | CVE-2026-25597 PrestaShop affected by time based enumeration in FO login form Corrigée en amont dans 8.2.4 | × pas sur votre branche | ? non évalué | ✓ disponible |
| Moyenne | sans référence CVE SQL injection via BO list filters (GHSA-whxq-pxj5-qq7v) Corrigée en amont dans 8.2.8 | × pas sur votre branche | ? non évalué | ✓ disponible |
| Moyenne | sans référence CVE BO notifications improper access control (GHSA-jf3w-9rmr-5rcr) Corrigée en amont dans 8.2.8 | × pas sur votre branche | ? non évalué | ✓ disponible |
| Faible | CVE-2026-33674 PrestaShop: Improper Use of Validation Framework Corrigée en amont dans 8.2.5 | × pas sur votre branche | ? non évalué | – |
48 vulnérabilités trouvées par nos équipes sur des modules du commerce, réparties sur 41 modules différents. Aucune ne porte de référence CVE publique : elles n’existent nulle part ailleurs qu’ici.
Nous ne publions ni le nom du module, ni le vecteur, ni la manière de les exploiter. L’éditeur n’a pas toujours livré de correctif, et le détail exposerait toutes les boutiques concernées — y compris celles qui ne sont pas nos clientes. Nos clients, eux, sont protégés sans attendre que la faille devienne publique.
Module concerné : · Vecteur :
À jour de votre branche, oui. À l’abri, non : les failles listées ici ont été corrigées dans les lignes 8 et 9, jamais rétroportées sur 1.7.8. Aller au bout de votre branche ne les ferme pas.
C’est la façon la plus complète de les fermer, mais pas la seule : nos correctifs en referment une partie sans changer de version, et le pare-feu bloque l'attaque sur d'autres. Une migration depuis 1.7 est un projet — thème, modules et données doivent suivre — donc elle se prépare, et vous n'êtes pas sans protection pendant ce temps.
Parce que nous n’avons pas encore audité leur couverture. Nous préférons l’écrire plutôt que d’afficher une protection non vérifiée. Une faille marquée « confirmé » a fait l’objet d’un test de blocage réel.
Nettement. Les branches 1.7.0 à 1.7.7 portent une vingtaine de failles supplémentaires par rapport à 1.7.8. Si vous êtes dessus, monter au moins jusqu’à 1.7.8.11 ferme déjà une bonne partie du risque.
Aucune mise à jour de votre branche ne les corrigera : elles sont définitives. Nos correctifs en referment une partie sans changer de version, notre pare-feu bloque l’attaque sur d’autres. Comparez les trois offres pour voir laquelle couvre votre situation.
Installation en 2 minutes. Satisfait ou remboursé 14 jours, sans condition.
La majorité de ce catalogue provient de la veille de FriendsOfPresta et de la base GitHub Advisory. Nous les rattachons aux versions réellement concernées, nous écrivons les correctifs qui manquent, et nous testons ce que notre pare-feu bloque.
