Iniciar sesión
Deutsch English Español Polski
Media

Anonymous PrestaShop customer can download other customers' invoices

  • Publicada: 14.05.2024
  • Actualizado: 11.10.2026 10:22

Impact

Since PrestaShop 8.1.5, any invoice can be downloaded from front-office in anonymous mode, by supplying a random secure_key parameter in the url.

Patches

Patched in 8.1.6

Workarounds

Upgrade to 8.1.6

Thank you to Samuel Bodevin, who found this vulnerability and shared it with the PrestaShop team.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

PlataformaPaqueteVersiones vulnerablesCorregida en
Paquete de Composer prestashop/prestashop >= 8.1.5, < 8.1.6 8.1.6
PrestaShop (núcleo) prestashop/prestashop >= 8.1.5, < 8.1.6 8.1.6

Referencias

Puntuación CVSS 5.3/10
Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
Debilidad (CWE)
CWE-200
Plataforma
Composer, PrestaShop
Paquete
prestashop/prestashop
Publicada
14.05.2024
Actualizado
11.10.2026 10:22

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-7pjr-2rgh-fc5g - CC BY 4.0

Historial de vulnerabilidades: prestashop/prestashop

Todas las vulnerabilidades publicadas de este paquete (PrestaShop (núcleo)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (32) en el archivo
Entradas en total
32
Primera → última
01.2020 05.2026
Sin corrección
9
Explotada en ataques
1

Distribución por gravedad

  • Crítica 6
  • Alta 8
  • Media 17
  • Baja 1

Divulgaciones por año

Gravedad:
  1. PrestaShop has a stored XSS executable in customer service view
    Crítica · 9.3 CVE-2026-44212 < 8.2.6, >= 9.0.0, < 9.1.1 8.2.6, 9.1.1
  2. PrestaShop has multiple stored XSS vulnerabilities via unprotected Template variables
    Alta · 7.6 CVE-2026-33673 >= 9.0.0-alpha.1, < 9.1.0, < 8.2.5 9.1.0, 8.2.5
  3. Anonymous PrestaShop customer can download other customers' invoices esta entrada
    Media · 5.3 CVE-2024-34717 >= 8.1.5, < 8.1.6 8.1.6
  4. PrestaShop cross-site scripting via customer contact form in FO, through file upload
    Crítica · 9.6 CVE-2024-34716 >= 8.1.0, < 8.1.6 8.1.6
  5. PrestaShop some attribute not escaped in Validate::isCleanHTML method
    Alta · 8.1 CVE-2024-21627 >= 8.0.0-beta.1, < 8.1.3, < 1.7.8.11 8.1.3, 1.7.8.11
  6. Possible XSS injection through Validate::isCleanHTML method
    Alta · 8.3 CVE-2023-39527 >= 8.0.0, < 8.0.5, < 1.7.8.10 sin corrección
  7. [CVE-2023-39529][CVE-2023-39530] path traversal: file deletion in the backoffice
    Alta · 6.7 CVE-2023-39525 <= 8.1.0 sin corrección
  8. Reading a file through path traversal & Remote Code Execution via unsafe deserialization
    Crítica · 9.1 CVE-2023-39528 <= 8.1.0 sin corrección
  9. Chain: SQL Injection (CWE-89) and Eval Injection (CWE-95)
    Crítica · 9.8 CVE-2022-31181 >= 1.6.0.10, < 1.7.8.7 1.7.8.7
  10. PrestaShop PHP Object Injection
    Alta · 8.8 CVE-2018-20717 < 1.7.2.5 1.7.2.5
  11. SQL filter bypass leading to arbitrary write requests using SQL Manager [DEBATE RUNNING ABOUT SCORING FROM PS CORE]
    Alta · 8.8 CVE-2023-30839 >= 8.0.0, < 8.0.3, < 1.7.8.8 sin corrección
  12. Possible XSS injection through Validate::isCleanHTML method
    Alta · 8.0 CVE-2023-30838 >= 8.0.0, < 8.0.3, < 1.7.8.8 sin corrección
  13. Server Side Twig Template Injection
    Crítica · 9.0 CVE-2022-21686 >= 1.7.0.0, < 1.7.8.3 1.7.8.3
  14. SQL injection in prestashop/prestashop
    Alta · 7.5 CVE-2021-43789 >= 1.7.5.0, < 1.7.8.2 1.7.8.2
  15. PHUnit dependancy in PrestaShop and modules allow remote arbitrary PHP code execution
    Crítica · 9.8 Explotada en ataques CVE-2017-9841 < 1.7.6.0 sin corrección

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación
Newsletter DockRay

La seguridad de tus aplicaciones en tu correo

Vulnerabilidades importantes, recomendaciones concretas y consejos prácticos para tus aplicaciones. Elige tus tecnologías y sigue lo que importa para tu proyecto.

  • Un resumen diario de nuevas vulnerabilidades, también las críticas.
  • Avisos sobre actualizaciones importantes.
  • Consejos prácticos sobre seguridad y monitorización de aplicaciones.

Déjalo vacío para recibir avisos de todas las tecnologías.

Política de privacidad

Suscripción gratuita. Date de baja con un clic en cualquier correo.