Krytyczna

Server Side Twig Template Injection

Ujawniono: 27.01.2022
Aktualizacja: 11.10.2026 10:22

PrestaShop is an Open Source e-commerce platform. Starting with version 1.7.0.0 and ending with version 1.7.8.3, an attacker is able to inject twig code inside the back office when using the legacy layout. The problem is fixed in version 1.7.8.3. There are no known workarounds.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Paczka Composer	prestashop/prestashop	>= 1.7.0.0, < 1.7.8.3	1.7.8.3
PrestaShop (rdzeń)	prestashop/prestashop	>= 1.7.0.0, < 1.7.8.3	1.7.8.3

Odnośniki

Ocena CVSS 9/10

Wektor CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H
Słabość (CWE): CWE-94
Platforma: Composer, PrestaShop
Paczka: prestashop/prestashop
Ujawniono: 27.01.2022
Aktualizacja: 11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-mrq4-7ch7-2465 - CC BY 4.0

Historia podatności: prestashop/prestashop

Wszystkie opisane podatności tej paczki (PrestaShop (rdzeń)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (32) w archiwum

Wszystkich wpisów: 32
Pierwsza → ostatnia: 01.2020 05.2026
Bez poprawki: 9
Wykorzystywana w atakach: 1

Rozkład istotności

Krytyczna 6
Wysoka 8
Średnia 17
Niska 1

Ujawnienia w latach

2020: 1
2021: 1
2022: 10
2023: 10
2024: 5
2025: 1
2026: 4

08.05.2026

PrestaShop has a stored XSS executable in customer service view

Krytyczna · 9.3 CVE-2026-44212 < 8.2.6, >= 9.0.0, < 9.1.1 8.2.6, 9.1.1
25.03.2026

PrestaShop has multiple stored XSS vulnerabilities via unprotected Template variables

Wysoka · 7.6 CVE-2026-33673 >= 9.0.0-alpha.1, < 9.1.0, < 8.2.5 9.1.0, 8.2.5
14.05.2024

PrestaShop cross-site scripting via customer contact form in FO, through file upload

Krytyczna · 9.6 CVE-2024-34716 >= 8.1.0, < 8.1.6 8.1.6
03.01.2024

PrestaShop some attribute not escaped in Validate::isCleanHTML method

Wysoka · 8.1 CVE-2024-21627 >= 8.0.0-beta.1, < 8.1.3, < 1.7.8.11 8.1.3, 1.7.8.11
07.08.2023

Possible XSS injection through Validate::isCleanHTML method

Wysoka · 8.3 CVE-2023-39527 >= 8.0.0, < 8.0.5, < 1.7.8.10 brak poprawki
07.08.2023

[CVE-2023-39529][CVE-2023-39530] path traversal: file deletion in the backoffice

Wysoka · 6.7 CVE-2023-39525 <= 8.1.0 brak poprawki
07.08.2023

Reading a file through path traversal & Remote Code Execution via unsafe deserialization

Krytyczna · 9.1 CVE-2023-39528 <= 8.1.0 brak poprawki
25.07.2022

Chain: SQL Injection (CWE-89) and Eval Injection (CWE-95)

Krytyczna · 9.8 CVE-2022-31181 >= 1.6.0.10, < 1.7.8.7 1.7.8.7
14.05.2022

PrestaShop PHP Object Injection

Wysoka · 8.8 CVE-2018-20717 < 1.7.2.5 1.7.2.5
03.05.2022

SQL filter bypass leading to arbitrary write requests using SQL Manager [DEBATE RUNNING ABOUT SCORING FROM PS CORE]

Wysoka · 8.8 CVE-2023-30839 >= 8.0.0, < 8.0.3, < 1.7.8.8 brak poprawki
03.05.2022

Possible XSS injection through Validate::isCleanHTML method

Wysoka · 8.0 CVE-2023-30838 >= 8.0.0, < 8.0.3, < 1.7.8.8 brak poprawki
27.01.2022

Server Side Twig Template Injection ten wpis

Krytyczna · 9.0 CVE-2022-21686 >= 1.7.0.0, < 1.7.8.3 1.7.8.3
07.12.2021

SQL injection in prestashop/prestashop

Wysoka · 7.5 CVE-2021-43789 >= 1.7.5.0, < 1.7.8.2 1.7.8.2
20.01.2020

PHUnit dependancy in PrestaShop and modules allow remote arbitrary PHP code execution

Krytyczna · 9.8 Wykorzystywana w atakach CVE-2017-9841 < 1.7.6.0 brak poprawki

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację