La ligne 9 est encore maintenue : les correctifs existent et sont livrés. Tout dépend donc de votre position sur l’échelle ci-dessous — une boutique à jour au dernier palier n’a aucune vulnérabilité du cœur connue non corrigée.
| Sévérité | Vulnérabilité | Corrigée par PrestaShop |
Bloquée par le pare-feu |
Correctif PrestaSecure |
Fermée en 9.1.4 |
|---|---|---|---|---|---|
| Critique | CVE-2026-44212 PrestaShop has a stored XSS executable in customer service view Corrigée en amont dans 9.1.1 | × pas sur votre branche | ? non évalué | ✓ disponible | ✓ fermée |
| Critique | sans référence CVE Unauthenticated stored XSS in AdminCustomerThreads via Contact Us form (PS 9.x) Corrigée en amont dans 9.1.1 | × pas sur votre branche | ✓ confirmé | ✓ disponible | ✓ fermée |
| Élevée | CVE-2026-33673 Stored XSS in Back Office (unprotected template variables) Corrigée en amont dans 9.1.0 | × pas sur votre branche | ✓ confirmé | – | ✓ fermée |
| Élevée | CVE-2026-33673 PrestaShop has multiple stored XSS vulnerabilities via unprotected Template variables Corrigée en amont dans 9.1.0 | × pas sur votre branche | ✓ confirmé | – | ✓ fermée |
| Élevée | sans référence CVE CSV Formula Injection in exports (GHSA-w6j9-q9rq-wrqg) Corrigée en amont dans 9.1.5 | × pas sur votre branche | ? non évalué | ✓ disponible | × toujours là |
| Élevée | sans référence CVE X-Forwarded-For IP spoofing (GHSA-2cr4-vw9p-pjvf) Corrigée en amont dans 9.1.5 | × pas sur votre branche | ? non évalué | ✓ disponible | × toujours là |
| Élevée | sans référence CVE PrestaShop core — SSRF via import image URL (copyImg -> Tools::copy) Corrigée en amont dans 9.1.5 | × pas sur votre branche | ? non évalué | ✓ disponible | × toujours là |
| Élevée | sans référence CVE PrestaShop core — CSV formula injection dans l'export legacy (AdminController::processExport) Corrigée en amont dans 99.0.0 | × pas sur votre branche | ? non évalué | ✓ disponible | × toujours là |
| Moyenne | sans référence CVE SQL injection via BO list filters (GHSA-whxq-pxj5-qq7v) Corrigée en amont dans 9.1.5 | × pas sur votre branche | ? non évalué | ✓ disponible | × toujours là |
| Moyenne | sans référence CVE BO notifications improper access control (GHSA-jf3w-9rmr-5rcr) Corrigée en amont dans 9.1.5 | × pas sur votre branche | ? non évalué | ✓ disponible | × toujours là |
| Faible | CVE-2026-33674 PrestaShop: Improper Use of Validation Framework Corrigée en amont dans 9.1.0 | × pas sur votre branche | × hors portée | – | ✓ fermée |
48 vulnérabilités trouvées par nos équipes sur des modules du commerce, réparties sur 41 modules différents. Aucune ne porte de référence CVE publique : elles n’existent nulle part ailleurs qu’ici.
Nous ne publions ni le nom du module, ni le vecteur, ni la manière de les exploiter. L’éditeur n’a pas toujours livré de correctif, et le détail exposerait toutes les boutiques concernées — y compris celles qui ne sont pas nos clientes. Nos clients, eux, sont protégés sans attendre que la faille devienne publique.
Module concerné : · Vecteur :
Sans faille du cœur connue et non corrigée, oui, à la date affichée en bas de page. Cela ne veut pas dire qu’une boutique 9.1 est invulnérable : les modules tiers, les mots de passe faibles et les fichiers déposés lors d’une intrusion antérieure restent des voies d’entrée, indépendantes de la version du cœur.
Des failles classées critiques restent ouvertes en 9.0. La montée vers 9.1 est une mise à jour mineure, sans changement majeur d’architecture : le rapport entre l’effort et le risque évité penche nettement en sa faveur.
C’est la cible logique à moyen terme, mais une migration depuis 1.7 est un projet, pas une mise à jour. Dans l’intervalle, monter jusqu’à la dernière version de votre ligne actuelle ferme déjà une bonne partie des failles.
Chaque couverture marquée « confirmé » a été validée par un test de blocage sur la requête d’attaque correspondante, et porte une date d’audit. Les failles dont la couverture n’a pas été testée sont marquées « non évalué », pas « protégé ».
Montez jusqu’à la dernière version de votre ligne : c’est gratuit et ça referme les failles du cœur. En revanche, aucune mise à jour de PrestaShop ne corrigera celles de vos modules — c’est là que nous intervenons.
Installation en 2 minutes. Satisfait ou remboursé 14 jours, sans condition.
La majorité de ce catalogue provient de la veille de FriendsOfPresta et de la base GitHub Advisory. Nous les rattachons aux versions réellement concernées, nous écrivons les correctifs qui manquent, et nous testons ce que notre pare-feu bloque.
