Crítica 9.8 30/10/2026
PSV-2026-0001 LiteSpeed Cache: ejecución de código sin autenticación a través de ESI Módulo
litespeedcache Parche 1.6.2 Base pública de vulnerabilidades de PrestaShop
Protege tu PrestaShop con la mayor base de vulnerabilidades
Avisos de seguridad del core y de los módulos en un solo sitio, con severidad, versiones afectadas y qué hacer. Pensado para dueños de tienda, agencias y desarrolladores.
Ejemplos: CVE-2025-61922 · GHSA-jf3w-9rmr-5rcr · ps_facetedsearch · 8.2.3
385avisos publicados
193críticas (≥ 9.0)
97altas (7.0–8.9)
91medias (4.0–6.9)
94 core · 259 módulos2 bajas · 2 sin puntuación · 32 otras
30/10/2026último aviso publicado
Últimos avisos críticos
Ver todos los críticos (193) Crítica 9.2 21/10/2026
CVE-2026-109619 Ejecución remota de código por estado global que apunta a memoria de peticiones ya liberada Módulo
Crítica 9.8 21/10/2026
CVE-2026-109618 Ejecución remota de código por memoria sin inicializar tras un error de falta de memoria (OOM) Módulo
Crítica 9.3 29/09/2026
CVE-2026-85520 Escritura arbitraria de ficheros sin autenticación en el módulo Google Merchant Center Feed (gmfeed) Módulo
gmfeed Parche 2.3.9 Todos los avisos
IDAvisoComponenteSeveridadVersiones afectadasPublicadoParche
PSV-2026-0001 LiteSpeed Cache: ejecución de código sin autenticación a través de ESI
litespeedcache Crítica 9.8 < 1.6.2 30/10/2026 Sí GHSA-pg6j-qf29-gc43 CSV Injection (Formula Injection) in newsletter subscribers export
ps_emailsubscription Media 6.1 < 3.0.1 28/10/2026 Sí CVE-2026-109619 Ejecución remota de código por estado global que apunta a memoria de peticiones ya liberada PHP Crítica 9.2 ≥ 5.4.0 < 8.2.35
≥ 8.3.0 < 8.3.36
≥ 8.4.0 < 8.4.27
+1 21/10/2026 No
≥ 8.3.0 < 8.3.36
≥ 8.4.0 < 8.4.27
+1 21/10/2026 No
CVE-2026-109618 Ejecución remota de código por memoria sin inicializar tras un error de falta de memoria (OOM) PHP Crítica 9.8 ≥ 7.3.0 < 8.2.35
≥ 8.3.0 < 8.3.36
≥ 8.4.0 < 8.4.27
+1 21/10/2026 No
≥ 8.3.0 < 8.3.36
≥ 8.4.0 < 8.4.27
+1 21/10/2026 No
CVE-2026-85520 Escritura arbitraria de ficheros sin autenticación en el módulo Google Merchant Center Feed (gmfeed)
gmfeed Crítica 9.3 ≥ 1.9.1 < 2.3.9 29/09/2026 No CVE-2026-91765 Denegación de servicio por recursión sin límite en el analizador XML de SOAP PHP Alta 7.5 ≥ 8.2.0 < 8.2.34
≥ 8.3.0 < 8.3.35
≥ 8.4.0 < 8.4.26
+1 25/09/2026 No
≥ 8.3.0 < 8.3.35
≥ 8.4.0 < 8.4.26
+1 25/09/2026 No
CVE-2026-92810 Lectura de listas de deseos ajenas por falta de comprobación de propiedad en blockwishlist hasta la 3.0.2
blockwishlist Media 5.3 ≤ 3.0.2 16/09/2026 No CVE-2026-92809 Registros de consentimiento RGPD falsificados en el módulo psgdpr hasta la 1.4.3
psgdpr Media 5.3 ≤ 1.4.3 16/09/2026 Sí GHSA-w68x-wjp2-mwc9 Inyección SQL autenticada en el módulo productcomments
productcomments Alta 7.2 ≥ 6.0.0 < 8.0.1 11/09/2026 Sí CVE-2026-84186 Suplantación de la IP del cliente mediante X-Forwarded-For en Tools::getRemoteAddr() Core Media 6.9 ≥ 8.0.0 < 8.2.8
≥ 9.0.0 < 9.1.5 07/09/2026 No
≥ 9.0.0 < 9.1.5 07/09/2026 No
CVE-2026-38725 XSS almacenado sin autenticación en ajax.php del módulo xipblog hasta la 2.0.1
xipblog Media 5.4 ≤ 2.0.1 28/08/2026 No GHSA-jf3w-9rmr-5rcr Control de acceso incorrecto en el endpoint de notificaciones del back office expone datos de clientes Core Media 4.3 ≥ 9.0.0 < 9.1.5
≥ 8.0.0 < 8.2.8 18/08/2026 Sí
≥ 8.0.0 < 8.2.8 18/08/2026 Sí
GHSA-whxq-pxj5-qq7v Inyección SQL a través de los filtros de los listados del back office Core Media 6.5 ≥ 9.0.0 < 9.1.5
≥ 8.0.0 < 8.2.8 18/08/2026 Sí
≥ 8.0.0 < 8.2.8 18/08/2026 Sí
GHSA-2cr4-vw9p-pjvf La dirección IP del cliente se puede falsificar mediante la cabecera X-Forwarded-For Core Alta 7.3 ≥ 9.0.0 < 9.1.5
≥ 8.0.0 < 8.2.8 18/08/2026 Sí
≥ 8.0.0 < 8.2.8 18/08/2026 Sí
GHSA-xrwj-pq6w-f8m4 Falsificación de peticiones del lado del servidor (SSRF) mediante las URL de imágenes en la importación CSV Core Alta 8.2 ≥ 9.0.0 < 9.1.5
≥ 8.0.0 < 8.2.8 18/08/2026 Sí
≥ 8.0.0 < 8.2.8 18/08/2026 Sí
GHSA-w6j9-q9rq-wrqg Inyección de fórmulas en las exportaciones CSV (inyección CSV) Core Alta 8.0 ≥ 9.0.0 < 9.1.5
≥ 8.0.0 < 8.2.8 18/08/2026 Sí
≥ 8.0.0 < 8.2.8 18/08/2026 Sí
CVE-2026-50986 CSRF en el módulo totadministrativemandate antes de la 1.8.1
totadministrativemandate Alta 8.8 ≤ 1.8.1 31/07/2026 No CVE-2026-17544 Escritura fuera de límites en bccomp() con corrupción de pila y montón PHP Crítica 9.8 ≥ 8.4.0 < 8.4.24
≥ 8.5.0 < 8.5.9 30/07/2026 No
≥ 8.5.0 < 8.5.9 30/07/2026 No
CVE-2026-17543 Inyección SQL trivial por escape incorrecto de barras invertidas PHP Crítica 9.8 ≥ 8.2.0 < 8.2.33
≥ 8.3.0 < 8.3.33
≥ 8.4.0 < 8.4.24
+1 30/07/2026 No
≥ 8.3.0 < 8.3.33
≥ 8.4.0 < 8.4.24
+1 30/07/2026 No
CVE-2026-54159 Inyección de objetos PHP en la caché de la búsqueda por facetas que permite RCE sin autenticación
ps_facetedsearch Crítica 10.0 ≥ 3.0.0 < 4.0.4 17/07/2026 Sí CVE-2026-14846 Inyección de fórmulas por el campo «Alias» de la dirección en la exportación «Obtener mis datos en CSV» (8.2.1) Core Media 4.5 = 8.2.1 13/07/2026 No
CVE-2026-39079 Exposición de datos sensibles por registros accesibles públicamente en el módulo upsshipping de Agence Web 360
upsshipping Alta 7.5 — 18/05/2026 No CVE-2026-44212 CWE-79: XSS almacenado ejecutable en la vista de atención al cliente Core Crítica 9.3 ≤ 1.7.8.11
< 8.2.6
< 9.1.1 14/05/2026 Sí
< 8.2.6
< 9.1.1 14/05/2026 Sí
CVE-2026-7263 Bucle infinito en DOMNode::C14N() (denegación de servicio) PHP Alta 7.5 ≥ 8.4.0 < 8.4.21
≥ 8.5.0 < 8.5.6 10/05/2026 No
≥ 8.5.0 < 8.5.6 10/05/2026 No
CVE-2026-6104 Lectura fuera de límites en mbstring con nombres de codificación con un byte NUL PHP Crítica 9.1 ≥ 8.4.0 < 8.4.21
≥ 8.5.0 < 8.5.6 10/05/2026 No
≥ 8.5.0 < 8.5.6 10/05/2026 No
CVE-2026-7568 Desbordamiento de entero en metaphone() con lectura fuera de límites PHP Alta 7.5 ≥ 8.2.0 < 8.2.31
≥ 8.3.0 < 8.3.31
≥ 8.4.0 < 8.4.21
+1 10/05/2026 No
≥ 8.3.0 < 8.3.31
≥ 8.4.0 < 8.4.21
+1 10/05/2026 No
CVE-2026-7262 Caída del servidor SOAP por desreferencia de puntero nulo con typemap configurado PHP Alta 7.5 ≥ 8.2.0 < 8.2.31
≥ 8.3.0 < 8.3.31
≥ 8.4.0 < 8.4.21
+1 10/05/2026 No
≥ 8.3.0 < 8.3.31
≥ 8.4.0 < 8.4.21
+1 10/05/2026 No
CVE-2026-7261 Use-after-free en SoapServer con SOAP_PERSISTENCE_SESSION PHP Crítica 9.8 ≥ 8.2.0 < 8.2.31
≥ 8.3.0 < 8.3.31
≥ 8.4.0 < 8.4.21
+1 10/05/2026 No
≥ 8.3.0 < 8.3.31
≥ 8.4.0 < 8.4.21
+1 10/05/2026 No
CVE-2026-7258 Denegación de servicio en urldecode() y otras funciones por char con signo en funciones ctype PHP Alta 7.5 ≥ 8.2.0 < 8.2.21
≥ 8.3.0 < 8.3.31
≥ 8.4.0 < 8.4.21
+1 10/05/2026 No
≥ 8.3.0 < 8.3.31
≥ 8.4.0 < 8.4.21
+1 10/05/2026 No
CVE-2026-6735 XSS en la página de estado de PHP-FPM PHP Alta 7.3 ≥ 8.2.0 < 8.2.31
≥ 8.3.0 < 8.3.31
≥ 8.4.0 < 8.4.21
+1 10/05/2026 No
≥ 8.3.0 < 8.3.31
≥ 8.4.0 < 8.4.21
+1 10/05/2026 No
CVE-2026-6722 Use-after-free en la deduplicación de objetos de la extensión SOAP con posible ejecución remota de código PHP Crítica 9.8 ≥ 8.2.0 < 8.2.31
≥ 8.3.0 < 8.3.31
≥ 8.4.0 < 8.4.21
+1 10/05/2026 No
≥ 8.3.0 < 8.3.31
≥ 8.4.0 < 8.4.21
+1 10/05/2026 No
CVE-2025-14179 Inyección SQL por bytes NUL en el driver PDO Firebird PHP Crítica 9.8 ≥ 8.2.0 < 8.2.31
≥ 8.3.0 < 8.3.31
≥ 8.4.0 < 8.4.21
+1 10/05/2026 No
≥ 8.3.0 < 8.3.31
≥ 8.4.0 < 8.4.21
+1 10/05/2026 No
CVE-2026-33673 CWE-79: Varios XSS almacenados explotables mediante variables sin proteger en las plantillas Core Alta 7.6 < 8.2.5
≥ 9.0.0 < 9.1.0 26/03/2026 Sí
≥ 9.0.0 < 9.1.0 26/03/2026 Sí
CVE-2026-33674 Corrección del uso incorrecto del framework de validación (CWE-1173) Core Media 5.3 < 8.2.5
≥ 9.0.0 < 9.1.0 26/03/2026 Sí
≥ 9.0.0 < 9.1.0 26/03/2026 Sí
CVE-2025-69633 Inyección SQL sin autenticación en el módulo Advanced Popup Creator (advancedpopupcreator)
advancedpopupcreator Crítica 9.8 ≥ 1.1.26 < 1.2.7 13/02/2026 No CVE-2026-25597 Enumeración por tiempo de respuesta en el formulario de acceso del front Core Media 5.3 < 8.2.4
≥ 9.0.0 < 9.0.3 06/02/2026 Sí
≥ 9.0.0 < 9.0.3 06/02/2026 Sí
CVE-2025-14180 Desreferencia de puntero nulo en el driver PDO PostgreSQL con prepares emulados PHP Alta 8.2 ≥ 8.1.0 < 8.1.34
≥ 8.2.0 < 8.2.30
≥ 8.3.0 < 8.3.29
+2 27/12/2025 No
≥ 8.2.0 < 8.2.30
≥ 8.3.0 < 8.3.29
+2 27/12/2025 No
CVE-2025-14178 Desbordamiento de búfer del montón en array_merge() PHP Alta 8.2 ≥ 8.1.0 < 8.1.34
≥ 8.2.0 < 8.2.30
≥ 8.3.0 < 8.3.29
+2 27/12/2025 No
≥ 8.2.0 < 8.2.30
≥ 8.3.0 < 8.3.29
+2 27/12/2025 No
CVE-2025-14177 Fuga de memoria del montón sin inicializar en getimagesize() PHP Alta 7.5 ≥ 8.1.0 < 8.1.34
≥ 8.2.0 < 8.2.30
≥ 8.3.0 < 8.3.29
+2 27/12/2025 No
≥ 8.2.0 < 8.2.30
≥ 8.3.0 < 8.3.29
+2 27/12/2025 No
CVE-2025-61924 Secuestro de la cuenta de comerciante de PayPal desde el back office en PrestaShop Checkout antes de la 4.4.1 y 5.0.5
≥ 5.0.0 < 5.0.5 16/10/2025 No
ps_checkout Baja 3.8 < 4.4.1≥ 5.0.0 < 5.0.5 16/10/2025 No
CVE-2025-61923 Directory traversal y lectura de ficheros arbitrarios en el back office de PrestaShop Checkout antes de la 4.4.1 y 5.0.5
≥ 5.0.0 < 5.0.5 16/10/2025 Sí
ps_checkout Media 4.1 < 4.4.1≥ 5.0.0 < 5.0.5 16/10/2025 Sí
CVE-2025-61922 Toma de control de cuentas por correo mediante Express Checkout en PrestaShop Checkout (ps_checkout)
≥ 5.0.0 < 5.0.5 16/10/2025 Sí
ps_checkout Crítica 9.1 ≥ 1.3.0 < 4.4.1≥ 5.0.0 < 5.0.5 16/10/2025 Sí
CVE-2025-25692 Deserialización PHAR en la función _getHeaders de PrestaShop 8.2.0 Core Media 6.5 = 8.2.0 30/07/2025 No
CVE-2025-25691 Deserialización PHAR en /themes/import de PrestaShop 8.2.0 Core Media 6.5 = 8.2.0 30/07/2025 No
CVE-2025-1735 Las funciones de escape de pgsql y pdo_pgsql no comprueban errores PHP Alta 7.5 ≥ 8.1.0 < 8.1.33
≥ 8.2.0 < 8.2.29
≥ 8.3.0 < 8.3.23
+1 13/07/2025 No
≥ 8.2.0 < 8.2.29
≥ 8.3.0 < 8.3.23
+1 13/07/2025 No
CVE-2023-45256 Múltiples inyecciones SQL en el módulo MoneticoPaiement (moneticopaiement) de EuroInformation antes de la 1.1.1
moneticopaiement Media 5.4 < 1.1.1 12/06/2025 No CVE-2024-6648 Path traversal absoluto en AP Page Builder (appagebuilder) antes de la 4.0.0
appagebuilder Alta 8.7 < 4.0.0 08/05/2025 No CVE-2024-11235 Use-after-free con el manejador __set o el operador ??= y excepciones PHP Crítica 9.2 ≥ 8.3.0 < 8.3.19
≥ 8.4.0 < 8.4.5 04/04/2025 No
≥ 8.4.0 < 8.4.5 04/04/2025 No
CVE-2025-1861 Truncado incorrecto de la cabecera Location al seguir redirecciones HTTP PHP Crítica 9.8 ≥ 8.1.0 < 8.1.31
≥ 8.2.0 < 8.2.26
≥ 8.3.0 < 8.3.14
+1 30/03/2025 No
≥ 8.2.0 < 8.2.26
≥ 8.3.0 < 8.3.14
+1 30/03/2025 No
CVE-2025-1736 Validación insuficiente de los finales de línea en las cabeceras enviadas por el usuario PHP Alta 7.3 ≥ 8.1.0 < 8.1.32
≥ 8.2.0 < 8.2.28
≥ 8.3.0 < 8.3.19
+1 30/03/2025 No
≥ 8.2.0 < 8.2.28
≥ 8.3.0 < 8.3.19
+1 30/03/2025 No
CVE-2022-31631 PDO::quote() entrecomilla mal cadenas largas para SQLite (posible inyección SQL) PHP Crítica 9.1 ≥ 8.0.0 < 8.0.27
≥ 8.1.0 < 8.1.15
≥ 8.2.0 < 8.2.2 12/02/2025 No
≥ 8.1.0 < 8.1.15
≥ 8.2.0 < 8.2.2 12/02/2025 No
CVE-2025-1230 XSS almacenado por el parámetro link del index.php del directorio de administración en PrestaShop 8.1.7 Core Media 4.8 = 8.1.7 12/02/2025 No
CVE-2025-24027 XSS potencial por el uso de la etiqueta nofilter en la plantilla
ps_contactinfo Media 6.2 ≤ 3.3.2 22/01/2025 No CVE-2024-36626 Desreferencia de puntero nulo en la función math_round de Tools.php en PrestaShop 8.1.4 Core Media 5.3 = 8.1.4 29/11/2024 Sí
CVE-2024-11233 Lectura fuera de límites en el filtro convert.quoted-printable-decode PHP Alta 8.2 ≥ 8.1.0 < 8.1.31
≥ 8.2.0 < 8.2.26
≥ 8.3.0 < 8.3.14 24/11/2024 No
≥ 8.2.0 < 8.2.26
≥ 8.3.0 < 8.3.14 24/11/2024 No
CVE-2024-11236 Desbordamiento de entero en ldap_escape() en sistemas de 32 bits PHP Crítica 9.8 ≥ 8.1.0 < 8.1.31
≥ 8.2.0 < 8.2.26
≥ 8.3.0 < 8.3.14 24/11/2024 No
≥ 8.2.0 < 8.2.26
≥ 8.3.0 < 8.3.14 24/11/2024 No
CVE-2024-11234 HTTP request smuggling a través de un proxy con request_fulluri PHP Alta 7.2 ≥ 8.1.0 < 8.1.31
≥ 8.2.0 < 8.2.26
≥ 8.3.0 < 8.3.14 24/11/2024 No
≥ 8.2.0 < 8.2.26
≥ 8.3.0 < 8.3.14 24/11/2024 No
CVE-2024-8932 Desbordamiento de entero en ldap_escape() en sistemas de 32 bits PHP Crítica 9.8 ≥ 8.1.0 < 8.1.31
≥ 8.2.0 < 8.2.26
≥ 8.3.0 < 8.3.14 22/11/2024 No
≥ 8.2.0 < 8.2.26
≥ 8.3.0 < 8.3.14 22/11/2024 No
CVE-2018-25104 Error de lógica de negocio en el callback de pago del módulo CoinGate (coingate) hasta la 1.2.7
coingate Media 5.3 ≤ 1.2.7 17/10/2024 No CVE-2024-41651 Ejecución remota de código a través de la actualización de módulos en PrestaShop 8.1.7 y anteriores (disputada) Core Crítica 9.8 ≤ 8.1.7 12/08/2024 No
CVE-2024-41670 Confirmación de pedidos con pago rechazado en el módulo PayPal Official (paypal)
≤ 3.18.0 26/07/2024 No
paypal Alta 7.5 ≥ 4.0.0 ≤ 6.4.1≤ 3.18.0 26/07/2024 No
CVE-2024-34988 Inyección SQL en el módulo Complete for Create a Quote in Frontend + Backend Pro (askforaquotemodul)
askforaquotemodul Crítica 9.8 ≤ 1.0.51 24/06/2024 No CVE-2024-34991 Descarga de datos de clientes y de tarjetas sin restricción en el módulo Axepta (axepta) antes de la 1.3.4
axepta Alta 7.5 ≤ 1.3.3 24/06/2024 No CVE-2024-34992 Inyección SQL en el módulo Help Desk (helpdesk) mediante Tickets::getsearchedtickets()
helpdesk Alta 8.8 < 2.4.0 24/06/2024 No CVE-2023-50029 Inyección de PHP en el módulo M4 PDF Extensions (m4pdf)
m4pdf Crítica 10.0 ≤ 3.3.1 24/06/2024 No CVE-2024-36681 Inyección SQL en el módulo Isotope (pk_isotope)
pk_isotope Crítica 9.8 ≤ 1.7.3 24/06/2024 No CVE-2024-36682 Fuga de correos recogidos en modo mantenimiento en el módulo Theme settings (pk_themesettings)
pk_themesettings Alta 7.5 ≤ 1.8.8 24/06/2024 No CVE-2024-36683 Inyección SQL en el módulo Products Alert (productsalert) antes de la 1.7.4
productsalert Alta 7.3 < 1.7.4 24/06/2024 No CVE-2024-34989 Inyección SQL por un invitado en el módulo RSI PDF/HTML catalog evolution (prestapdf)
prestapdf Crítica 9.8 ≤ 3.9.0 21/06/2024 No CVE-2024-34993 Inyección SQL en Bulk Export products to Google Merchant (bagoogleshopping) de Buy Addons hasta la 1.0.26
bagoogleshopping Media 6.3 < 1.0.26 19/06/2024 No CVE-2024-34994 Inyección SQL por un invitado en el módulo Channable (channable)
channable Crítica 9.8 < 3.2.1 19/06/2024 No CVE-2024-34990 Subida de ficheros .php por un cliente en el módulo Help Desk (helpdesk)
helpdesk Crítica 10.0 < 2.4.0 19/06/2024 No CVE-2024-33836 Subida de ficheros .php por un invitado en el módulo JA Marketplace (jamarketplace)
jamarketplace Crítica 9.8 ≤ 9.0.1 19/06/2024 No CVE-2024-36679 Inyección de código PHP por un invitado en el módulo Live Chat Pro (livechatpro)
livechatpro Crítica 10.0 ≤ 8.4.0 19/06/2024 No CVE-2024-36677 Acceso a cualquier cuenta de cliente en Login as customer PRO (loginascustomerpro) antes de la 1.2.7
loginascustomerpro Alta 7.5 < 1.2.7 19/06/2024 No CVE-2024-36684 Inyección SQL por un invitado en el módulo Custom links (pk_customlinks)
pk_customlinks Crítica 9.8 ≤ 2.3 19/06/2024 No CVE-2024-36678 Inyección SQL por un invitado en el módulo Theme settings (pk_themesettings)
pk_themesettings Crítica 9.8 ≤ 1.8.8 19/06/2024 No CVE-2024-36680 Inyección SQL en el módulo Facebook (pkfacebook) de Promokit.eu <= 1.0.1
pkfacebook Alta 7.5 ≤ 1.0.1 19/06/2024 No CVE-2024-5585 La corrección de CVE-2024-1874 en proc_open() no funciona con espacios finales en el comando PHP Alta 8.8 ≥ 8.1.0 < 8.1.29
≥ 8.2.0 < 8.2.20
≥ 8.3.0 < 8.3.8 09/06/2024 No
≥ 8.2.0 < 8.2.20
≥ 8.3.0 < 8.3.8 09/06/2024 No
CVE-2024-34716 XSS a través del formulario de contacto del front office, mediante la subida de ficheros Core Crítica 9.6 ≥ 8.1.0 < 8.1.6 14/05/2024 Sí
CVE-2024-34717 Un cliente anónimo puede descargar las facturas de otros clientes Core Media 5.3 = 8.1.5 14/05/2024 Sí
CVE-2024-33274 Directory traversal en el módulo customfields de FME Modules hasta la 2.2.7
customfields Alta 7.5 ≤ 2.2.7 30/04/2024 No CVE-2024-33270 Exposición de información sensible en el módulo fileuploads de FME Modules hasta la 2.0.3
fileuploads Alta 7.5 ≤ 2.0.3 30/04/2024 No CVE-2024-33267 Inyección SQL en el módulo hfheropayment de Hero
hfheropayment Crítica 9.8 ≤ 1.2.5 30/04/2024 No CVE-2023-45385 Directory traversal en el módulo pqprintshippinglabels de ProQuality antes de la 4.15.0
pqprintshippinglabels Alta 7.5 < 4.15.0 30/04/2024 No CVE-2024-33273 Inyección SQL en el módulo shipup antes de la 3.3.0
shipup Crítica 9.8 < 3.3.0 30/04/2024 No CVE-2024-33275 Inyección SQL en el módulo Super Newsletter (supernewsletter) de Webbax
supernewsletter Crítica 9.8 ≤ 1.4.21 30/04/2024 No CVE-2024-2757 mb_encode_mimeheader() no termina con ciertas entradas (denegación de servicio) PHP Alta 7.5 ≥ 8.3.0 < 8.3.5 29/04/2024 No
CVE-2024-1874 Ejecución de comandos arbitrarios por escape insuficiente en proc_open() con sintaxis de array PHP Crítica 9.4 ≥ 8.1.0 < 8.1.28
≥ 8.2.0 < 8.2.18
≥ 8.3.0 < 8.3.5 29/04/2024 No
≥ 8.2.0 < 8.2.18
≥ 8.3.0 < 8.3.5 29/04/2024 No
CVE-2024-33272 Inyección SQL en el módulo autosuggest de KnowBand antes de la 2.0.0
autosuggest Media 6.8 < 2.0.0 29/04/2024 No CVE-2024-33266 Inyección SQL en el módulo deliveryorderautoupdate de Helloshop
deliveryorderautoupdate Crítica 9.8 ≤ 2.8.1 29/04/2024 No CVE-2024-33271 Exposición de datos de clientes en el módulo eventsmanager de FME Modules antes de la 4.4.0
eventsmanager Alta 7.5 ≤ 4.3.0 29/04/2024 No CVE-2024-33269 Inyección SQL en el módulo flashsales de Prestaddons
flashsales Crítica 9.8 ≤ 1.9.7 29/04/2024 No CVE-2024-33268 Inyección SQL en el módulo mdgiftproduct de Digincube
mdgiftproduct Crítica 9.8 ≤ 1.4.1 29/04/2024 No CVE-2024-33276 Inyección SQL en el módulo preorderandnotification de FME Modules
preorderandnotification Crítica 9.8 ≤ 3.1.0 29/04/2024 No CVE-2024-2759 Control de acceso incorrecto en el módulo Apaczka (apaczka8) de la v1 a la v4
apaczka8 Alta 7.5 < 5 04/04/2024 No CVE-2024-30511 Inserción de información sensible en el fichero de registro en FG PrestaShop to WooCommerce hasta la 4.45.1 Otro Media 5.3 — 29/03/2024 No
CVE-2024-28387 Exposición de información sensible por log.txt en el módulo axonaut hasta la 3.1.23
axonaut Alta 7.5 < 3.2.0 25/03/2024 No CVE-2024-28386 Ejecución remota de código en el módulo fastmagsync de Home-Made.io
fastmagsync Crítica 9.8 ≤ 1.7.51 25/03/2024 No CVE-2024-28395 Inyección SQL en el módulo bestkit_popup de Best-Kit
bestkit_popup Crítica 9.8 ≤ 1.7.2 20/03/2024 No CVE-2024-28396 Ejecución de código arbitrario por download.php en el módulo ordersexport de MyPrestaModules hasta la 6.0.2
ordersexport Alta 7.5 ≤ 6.0.2 20/03/2024 No CVE-2024-28392 Inyección SQL en el módulo pscartabandonmentpro
pscartabandonmentpro Crítica 9.8 ≤ 2.0.11 20/03/2024 No CVE-2024-28389 Inyección SQL en el módulo spinwheel de KnowBand
spinwheel Crítica 9.8 ≤ 3.0.3 19/03/2024 No CVE-2024-28394 Ejecución remota de código en el módulo reportsstatistics de Advanced Plugins
reportsstatistics Crítica 9.8 ≤ 1.3.20 19/03/2024 No CVE-2024-28388 Inyección SQL en el módulo stproductcomments de SunnyToo
stproductcomments Crítica 9.8 < 1.0.6 14/03/2024 No CVE-2024-28390 Control de acceso incorrecto en el módulo ultimateimagetool de Advanced Plugins
ultimateimagetool Crítica 9.8 < 2.2.01 14/03/2024 No CVE-2024-28391 Inyección SQL en el módulo quickproducttable de FME Modules
quickproducttable Crítica 9.8 < 1.3.0 14/03/2024 Sí CVE-2024-25845 Inyección SQL por un invitado en el módulo CD Custom Fields 4 Orders (cdcustomfields4orders)
cdcustomfields4orders Crítica 9.8 ≤ 1.0.0 08/03/2024 Sí CVE-2024-25848 Inyección SQL en el módulo Ever Ultimate SEO (everpsseo) de Team Ever <= 8.1.2
everpsseo Media 5.9 ≤ 8.1.2 08/03/2024 No CVE-2024-25849 Inyección SQL por un invitado en el módulo Make an offer (makeanoffer)
makeanoffer Crítica 9.8 ≤ 1.7.1 08/03/2024 Sí CVE-2024-24302 Ejecución de código y escalada de privilegios en el módulo Product Designer (productdesigner) de Tunis Soft
productdesigner Crítica 9.8 < 1.178.36 03/03/2024 No CVE-2024-24307 Path traversal en el módulo Product Designer (productdesigner) de Tunis Soft antes de la 1.178.36
productdesigner Alta 7.5 < 1.178.36 03/03/2024 No CVE-2024-25839 Escalada de privilegios y fuga de datos en Super Newsletter (supernewsletter) de Webbax hasta la 1.4.21
supernewsletter Alta 7.5 ≤ 1.4.21 03/03/2024 Sí CVE-2024-25842 Escalada de privilegios y fuga de datos en Account Manager (prestasalesmanager) de Presta World antes de la 9.0
prestasalesmanager Alta 7.5 < 9.0.0 03/03/2024 No CVE-2024-25844 Fuga de datos por fichero de depuración en So Flexibilite (soflexibilite) de Common-Services antes de la 4.1.26
soflexibilite Alta 7.5 < 4.1.14 03/03/2024 No CVE-2024-25847 Inyección SQL en el módulo Product Catalog (CSV, Excel) Import (simpleimportproduct)
simpleimportproduct Crítica 9.8 ≤ 6.5.0 03/03/2024 No CVE-2024-26469 SSRF en el módulo Product Designer (productdesigner) de Tunis Soft antes de la 1.178.36
productdesigner Alta 8.1 < 1.178.36 03/03/2024 No CVE-2024-25846 Subida de ficheros .php por un invitado en el módulo Product Catalog (CSV, Excel) Import (simpleimportproduct)
simpleimportproduct Crítica 9.1 ≤ 6.7.0 27/02/2024 No CVE-2024-25843 Inyección SQL por un invitado en el módulo Import/Update Bulk Product Pro (ba_importer)
ba_importer Crítica 9.8 < 1.1.29 27/02/2024 Sí CVE-2024-25841 XSS en el módulo So Flexibilite (soflexibilite) de Common-Services antes de la 4.1.26
soflexibilite Media 5.9 < 4.1.14 27/02/2024 No CVE-2024-25840 Descarga de datos personales por path traversal en Account Manager (prestasalesmanager) hasta la 9.0
prestasalesmanager Alta 7.5 < 9.0.0 27/02/2024 Sí CVE-2024-24309 Descarga de datos personales sin restricción en Survey TMA (ecomiz_survey_tma) hasta la 2.0.0
ecomiz_survey_tma Alta 7.5 ≤ 2.0.0 23/02/2024 Sí CVE-2024-24310 Inyección SQL en Generate barcode on invoice (ecgeneratebarcode) de Ether Creation <= 1.2.0
ecgeneratebarcode Alta 8.8 ≤ 1.2.0 23/02/2024 No CVE-2024-24837 CSRF en FG PrestaShop to WooCommerce hasta la 4.44.3 (y otros plugins FG) Otro Media 4.3 — 21/02/2024 No
CVE-2024-26129 Revelación de rutas en una variable JavaScript Core Media 5.8 ≥ 8.1.0 < 8.1.4 19/02/2024 Sí
CVE-2023-46350 Inyección SQL en el módulo Manufacturer or supplier alphabetical search (idxrmanufacturer) de InnovaDeluxe
idxrmanufacturer Crítica 9.8 < 2.0.5 09/02/2024 Sí CVE-2023-50026 Inyección SQL en el módulo Multi Accessories Pro (hsmultiaccessoriespro) de Presta Monster
hsmultiaccessoriespro Crítica 9.8 < 5.3.0 09/02/2024 Sí CVE-2024-24308 Inyección SQL en el módulo Boostmyshop (boostmyshopagent)
boostmyshopagent Crítica 9.8 < 1.1.10 09/02/2024 Sí CVE-2023-50061 Inyección SQL en el módulo Op'art Easy Redirect (oparteasyredirect)
oparteasyredirect Crítica 9.8 ≥ 1.3.8 ≤ 1.3.12 08/02/2024 Sí CVE-2023-46914 Inyección SQL en el módulo bookingcalendar de RM
bookingcalendar Crítica 9.8 ≤ 2.7.9 07/02/2024 Sí CVE-2024-24303 Inyección SQL en el módulo Gift Wrapping Pro (hiadvancedgiftwrapping) de HiPresta
hiadvancedgiftwrapping Crítica 9.8 < 1.4.1 07/02/2024 No CVE-2024-24304 Descarga de información técnica sin restricción en el módulo Mailjet (mailjet) antes de la 3.5.1
mailjet Alta 7.5 < 3.5.1 07/02/2024 Sí CVE-2024-24311 Path traversal en Multilingual and Multistore Sitemap Pro (lgsitemaps) de Linea Grafica antes de la 1.6.6
lgsitemaps Alta 7.5 < 1.6.6 07/02/2024 Sí CVE-2023-50030 Inyección SQL ciega por un invitado en el módulo Jms Setting (jmssetting)
jmssetting Crítica 9.8 ≤ 1.1.0 19/01/2024 Sí CVE-2023-50028 Inyección SQL por un invitado en el módulo Sliding cart block (blockslidingcart)
blockslidingcart Crítica 9.8 < 2.3.8 19/01/2024 Sí CVE-2023-46351 Inyección SQL por un invitado en el módulo mib de MyPresta.eu
mib Crítica 9.8 < 1.6.1 19/01/2024 Sí CVE-2023-43985 Inyección SQL en el módulo stblogsearch de SunnyToo
stblogsearch Crítica 9.8 ≤ 1.0.0 19/01/2024 Sí CVE-2023-48926 Cambio de estado de pedidos sin autenticación en Advanced Loyalty Program (advanced_loyalty_program) de 202 ecommerce antes de la 2.3.4
totloyaltyadvanced Media 5.3 < 2.3.4 16/01/2024 No CVE-2023-6921 Inyección SQL ciega en PrestaShow Google Integrator (google_integrator)
pshowconversion Crítica 9.8 < 2.1.4 08/01/2024 No CVE-2023-50027 Inyección SQL en el módulo baproductzoommagnifier de Buy Addons
baproductzoommagnifier Crítica 9.8 ≤ 1.0.16 05/01/2024 Sí CVE-2024-21628 Se puede guardar un XSS en la base de datos desde el formulario «añadir un mensaje» del detalle de pedido (front) Core Media 6.1 < 8.1.3 02/01/2024 Sí
CVE-2024-21627 Algunos atributos no se escapan en el método Validate::isCleanHTML Core Alta 8.1 < 1.7.8.11
≥ 8.0.0 < 8.1.3 02/01/2024 Sí
≥ 8.0.0 < 8.1.3 02/01/2024 Sí
CVE-2023-46989 Inyección SQL en el módulo Quick Order (idxquickorder) de Innovadeluxe antes de la 1.4.0
idxquickorder Alta 7.8 < 1.4.0 28/12/2023 Sí CVE-2023-48925 Inyección SQL en el módulo bavideotab de Buy Addons
bavideotab Crítica 9.8 < 1.0.6 14/12/2023 Sí CVE-2023-46348 Inyección SQL en el módulo sturls de SunnyToo
sturls Crítica 9.8 < 1.1.13 14/12/2023 Sí CVE-2023-40921 Inyección SQL en el módulo soliberte de Common Services
soliberte Crítica 9.8 ≥ 4.0.0 < 4.3.03 14/12/2023 Sí CVE-2023-46353 Inyección SQL por un invitado en el módulo Product Tag Icons Pro (ticons)
ticons Crítica 9.8 < 1.8.4 06/12/2023 No CVE-2023-46354 Descarga de datos personales sin restricción en Orders Export PRO (ordersexport) antes de la 5.2.0
ordersexport Alta 7.5 < 5.2.0 06/12/2023 No CVE-2023-48042 XSS en los filtros de búsqueda del módulo Amazzing filter (amazzing_filter) hasta la 3.2.5
amazzing_filter Media 6.1 ≤ 3.2.5 28/11/2023 No CVE-2023-46349 Inyección SQL por un invitado en el módulo Product Catalog (CSV, Excel) Export/Update (updateproducts)
updateproducts Crítica 9.8 < 3.8.5 27/11/2023 Sí CVE-2023-46355 Descarga de datos personales sin restricción en CSV Feeds PRO (csvfeeds) de Bl Modules antes de la 2.6.1
csvfeeds Media 5.3 < 2.6.1 27/11/2023 No CVE-2023-48188 Inyección SQL en el módulo opartdevis
opartdevis Crítica 9.8 ≥ 4.5.18 ≤ 4.6.12 27/11/2023 No CVE-2023-45377 Inyección SQL por un invitado en el módulo Chronopost Official (chronopost)
chronopost Crítica 9.8 ≤ 6.2.1 22/11/2023 Sí CVE-2023-46357 Inyección SQL por un invitado en el módulo Cross Selling in Modal Cart (motivationsale)
motivationsale Crítica 9.8 < 3.5.0 22/11/2023 Sí CVE-2023-45382 Path traversal y descarga de datos personales en SoNice Retour (sonice_retour) hasta la 2.1.0
sonice_retour Alta 7.5 ≤ 2.1.0 17/11/2023 No CVE-2023-45387 Inyección SQL por un invitado en el módulo Product Catalog (CSV, Excel, XML) Export PRO (exportproducts)
exportproducts Crítica 9.8 < 5.1.0 17/11/2023 Sí CVE-2023-40923 Múltiples inyecciones SQL en send.php del módulo ordersexport de MyPrestaModules antes de la 5.0
ordersexport Alta 8.8 < 5.0 15/11/2023 Sí CVE-2023-47309 XSS en el módulo nkmgls de Nukium antes de la 3.0.2
nkmgls Media 5.4 < 3.0.2 15/11/2023 Sí CVE-2023-43979 Inyección SQL en el módulo ybc_blog de ETS Soft
ybc_blog Crítica 9.8 < 4.4.0 15/11/2023 Sí CVE-2023-47308 Inyección SQL por un invitado en el módulo Newsletter Popup PRO (newsletterpop)
≥ 2.5.2 < 2.6.1 15/11/2023 Sí
newsletterpop Crítica 9.8 ≥ 2.3.1 ≤ 2.4.53≥ 2.5.2 < 2.6.1 15/11/2023 Sí
CVE-2023-47110 Un empleado con acceso al módulo blockreassurance puede cambiar cualquier valor de la tabla de configuración
blockreassurance Crítica 9.1 < 5.1.4 09/11/2023 Sí CVE-2023-47109 Un usuario del back office puede borrar cualquier fichero del servidor al añadir y borrar un bloque
blockreassurance Alta 8.1 < 5.1.4 08/11/2023 Sí CVE-2023-43984 Descarga de datos de clientes sin autenticación en el módulo advancedexport de Smart Soft antes de la 4.4.7
advancedexport Alta 7.5 ≤ 4.4.7 07/11/2023 No CVE-2023-45380 Descarga de datos personales sin restricción en el módulo Order Duplicator (orderduplicate)
orderduplicate Crítica 9.1 < 1.1.8 07/11/2023 No CVE-2023-43982 SSRF en el módulo boninstagramcarousel de Bon Presta
boninstagramcarousel Crítica 9.8 ≥ 5.2.1 < 7.0.0 03/11/2023 No CVE-2023-46352 Descarga de datos personales sin restricción en Pixel Plus (facebookconversiontrackingplus) hasta la 2.4.9
facebookconversiontrackingplus Alta 7.5 < 2.4.9 02/11/2023 No CVE-2023-44025 Inyección SQL en el módulo Addifyfreegifts de Addify
addifyfreegifts Crítica 9.8 < 1.2.0 01/11/2023 No CVE-2023-43139 Ejecución remota de código en el módulo franfinance
< 1.9.0 31/10/2023 No
franfinance Crítica 9.8 < 2.0.27< 1.9.0 31/10/2023 No
CVE-2023-45899 Elusión de autenticación en el módulo superuser de idnovate antes de la 2.4.2
superuser Alta 7.5 ≥ 2.3.5 < 2.4.2 31/10/2023 Sí CVE-2023-27846 Inyección SQL en los módulos de Theme Volty (tvcms*) 4.0.8 y anteriores
tvcmsblog Crítica 9.8 ≤ 4.0.8 31/10/2023 Sí CVE-2023-36263 Inyección SQL en el módulo opartlimitquantity
opartlimitquantity Crítica 9.8 < 1.4.6 31/10/2023 Sí CVE-2023-45378 Inyección SQL por un invitado en el módulo PrestaBlog (prestablog)
prestablog Crítica 9.8 < 4.4.8 31/10/2023 Sí CVE-2023-46356 Inyección SQL por un invitado en el módulo CSV Feeds PRO (csvfeeds)
csvfeeds Crítica 9.8 < 2.6.1 31/10/2023 Sí CVE-2023-46346 Path traversal en Product Catalog Export PRO (exportproducts) de MyPrestaModules hasta la 4.1.1
exportproducts Alta 7.5 < 5.0.0 25/10/2023 No CVE-2023-46347 Inyección SQL por un invitado en el módulo Step by Step products Pack (ndk_steppingpack)
ndk_steppingpack Crítica 9.8 < 1.5.7 25/10/2023 No CVE-2023-46358 Inyección SQL por un invitado en el módulo Referral and Affiliation Program (referralbyphone)
referralbyphone Crítica 9.8 ≤ 3.5.1 25/10/2023 No CVE-2023-37824 Inyección SQL en el módulo sitologapplicationconnect de Sitolog
sitologapplicationconnect Crítica 9.8 — 20/10/2023 No CVE-2023-45384 Subida de ficheros .php por un invitado en el módulo One Page Checkout (supercheckout) de KnowBand
supercheckout Crítica 9.8 ≥ 5.0.7 < 6.0.7 19/10/2023 No CVE-2023-43986 Inyección SQL en el módulo configurator de DM Concept
configurator Crítica 9.8 < 4.9.4 19/10/2023 No CVE-2023-45376 Inyección SQL por un invitado en el módulo Carousels Pack (hicarouselspack) de HiPresta
hicarouselspack Crítica 9.8 < 1.5.1 19/10/2023 No CVE-2023-45379 Inyección SQL por un invitado en el módulo Rotator Img (posrotatorimg)
posrotatorimg Crítica 9.8 ≤ 1.1 19/10/2023 No CVE-2023-45381 Inyección SQL por un invitado en el módulo Creative Popup (creativepopup)
creativepopup Crítica 9.8 < 1.6.10 19/10/2023 No CVE-2023-45383 Path traversal en SoNice etiquetage (sonice_etiquetage) de Common-Services hasta la 2.5.9
sonice_etiquetage Alta 7.5 ≤ 2.5.9 18/10/2023 Sí CVE-2023-45375 Inyección SQL en el módulo PireosPay (pireospay) de 01generator.com antes de la 1.7.10
pireospay Alta 8.8 < 1.7.10 17/10/2023 Sí CVE-2023-45386 Inyección SQL por un invitado en el módulo extratabspro de MyPresta.eu
extratabspro Crítica 9.8 < 2.2.8 17/10/2023 Sí CVE-2023-30148 Múltiples XSS almacenados en opartmultihtmlblock de Opart antes de la 2.0.12
opartmultihtmlblock Media 6.1 < 2.0.12 14/10/2023 Sí CVE-2023-30154 Múltiples inyecciones SQL en el módulo AfterMail (aftermailpresta)
aftermailpresta Crítica 9.8 < 2.2.1 14/10/2023 Sí CVE-2023-43983 Inyección SQL en el módulo attributegrid de Presto Changeo
attributegrid Crítica 9.8 ≤ 2.0.3 05/10/2023 Sí CVE-2023-43981 Deserialización insegura en el módulo testsitecreator de Presto Changeo
testsitecreator Crítica 9.8 ≤ 1.1.1 05/10/2023 Sí CVE-2023-40920 Inyección SQL en el módulo prixanconnect de Prixan
prixanconnect Crítica 9.8 ≤ 1.61 05/10/2023 Sí CVE-2023-44024 Inyección SQL en el módulo One Page Checkout (supercheckout) 8.0.3 y anteriores de KnowBand
supercheckout Crítica 9.8 ≤ 8.0.3 05/10/2023 Sí CVE-2023-39645 Inyección SQL por un invitado en el módulo Theme Volty CMS Payment Icon (tvcmspaymenticon)
tvcmspaymenticon Crítica 9.8 < 4.0.2 03/10/2023 Sí CVE-2023-39646 Inyección SQL por un invitado en el módulo Theme Volty CMS Category Chain Slider (tvcmscategorychainslider)
tvcmscategorychainslider Crítica 9.8 ≤ 4.0.1 03/10/2023 Sí CVE-2023-39647 Inyección SQL por un invitado en el módulo Theme Volty CMS Category Product (tvcmscategoryproduct)
tvcmscategoryproduct Crítica 9.8 ≤ 4.0.1 03/10/2023 Sí CVE-2023-39648 Inyección SQL por un invitado en el módulo Theme Volty CMS Testimonial (tvcmstestimonial)
tvcmstestimonial Crítica 9.8 ≤ 4.0.1 03/10/2023 Sí CVE-2023-39649 Inyección SQL por un invitado en el módulo Theme Volty CMS Category Slider (tvcmscategoryslider)
tvcmscategoryslider Crítica 9.8 ≤ 4.0.1 03/10/2023 Sí CVE-2023-39651 Inyección SQL por un invitado en el módulo Theme Volty CMS BrandList (tvcmsbrandlist)
tvcmsbrandlist Crítica 9.8 ≤ 4.0.1 03/10/2023 Sí CVE-2023-43980 Inyección SQL en el módulo testsitecreator de Presto Changeo
testsitecreator Crítica 9.8 ≤ 1.1.1 02/10/2023 No CVE-2023-43663 Desinstalación de módulos desde el back office incluso con permisos bajos Core Media 6.3 < 8.1.2 28/09/2023 Sí
CVE-2023-43664 Un empleado sin ningún permiso puede listar todos los módulos instalados Core Media 4.3 < 8.1.2 28/09/2023 Sí
CVE-2023-39640 Inyección SQL en el módulo cookiebanner de UpLight
cookiebanner Crítica 9.8 < 1.5.1 25/09/2023 Sí CVE-2023-34577 Inyección SQL en el módulo opartplannedpopup
opartplannedpopup Crítica 9.8 < 1.4.12 21/09/2023 Sí CVE-2022-45447 Directory traversal por el parámetro f en /m4pdf/pdf.php del módulo M4 PDF (m4pdf) hasta la 3.2.3
m4pdf Media 6.5 ≤ 3.2.3 20/09/2023 No CVE-2022-45448 Generación de documentos HTML arbitrarios en /m4pdf/pdf.php del módulo M4 PDF (m4pdf) hasta la 3.2.3
m4pdf Media 6.1 ≤ 3.2.3 20/09/2023 No CVE-2023-34575 Inyección SQL en el módulo opartsavecart
opartsavecart Crítica 9.8 ≤ 2.0.7 20/09/2023 No CVE-2023-39675 Inyección SQL en el módulo SimpleImportProduct 6.2.9
simpleimportproduct Crítica 9.8 = 6.2.9 20/09/2023 No CVE-2023-39677 Exposición de phpinfo por send.php en módulos de MyPrestaModules (simpleimportproduct 6.2.9 y UpdateProducts 3.6.9)
≥ 3.6.9 ≤ 3.6.9 20/09/2023 No
simpleimportproduct Alta 7.5 ≥ 6.2.9 ≤ 6.2.9≥ 3.6.9 ≤ 3.6.9 20/09/2023 No
CVE-2023-39642 Inyección SQL en el módulo cartsguru de Carts Guru
cartsguru Crítica 9.8 < 2.4.3 15/09/2023 Sí CVE-2023-39643 Inyección SQL en el módulo xmlfeeds de Bl Modules
xmlfeeds Crítica 9.8 < 3.9.8 15/09/2023 Sí CVE-2023-39639 Inyección SQL en el módulo leoblog de LeoTheme
leoblog Crítica 9.8 ≤ 3.1.2 15/09/2023 Sí CVE-2023-39641 Inyección SQL en el módulo psaffiliate de Active Design
psaffiliate Crítica 9.8 < 1.9.8 15/09/2023 Sí CVE-2023-39676 XSS reflejado por el parámetro callback de ajax.php en el módulo FieldPopupNewsletter (fieldpopupnewsletter) 1.0.0
fieldpopupnewsletter Media 6.1 = 1.0.0 08/09/2023 No CVE-2023-39650 Inyección SQL en el módulo Theme Volty CMS Blog (tvcmsblog)
tvcmsblog Crítica 9.8 < 4.0.1 28/08/2023 Sí CVE-2023-39652 Inyección SQL en el módulo tvcmsvideotab de Theme Volty
tvcmsvideotab Crítica 9.8 ≤ 4.0.0 28/08/2023 Sí CVE-2023-33663 Inyección SQL en el módulo Customization fields fee (aicustomfee) de ai-dev
aicustomfee Crítica 9.8 < 0.2.1 16/08/2023 No CVE-2023-39524 Posible inyección SQL en la búsqueda de productos del back office Core Crítica 9.8 < 8.1.1 07/08/2023 Sí
CVE-2023-39526 Vulnerabilidad en el gestor SQL (posible RCE) Core Crítica 9.8 < 1.7.8.10
≥ 8.0.0 < 8.0.5
= 8.1.0 07/08/2023 Sí
≥ 8.0.0 < 8.0.5
= 8.1.0 07/08/2023 Sí
CVE-2023-39527 Nueva posible inyección XSS a través del método Validate::isCleanHTML Core Alta 8.3 < 1.7.8.10
≥ 8.0.0 < 8.0.5
= 8.1.0 07/08/2023 Sí
≥ 8.0.0 < 8.0.5
= 8.1.0 07/08/2023 Sí
CVE-2023-39529 Borrado de ficheros a través de la API de adjuntos Core Crítica 9.1 < 8.1.1 07/08/2023 Sí
CVE-2023-39530 Borrado de ficheros a través de CustomerMessage Core Crítica 9.1 < 8.1.1 07/08/2023 Sí
CVE-2023-33665 Inyección SQL en el módulo aitable de ai-dev
aitable Crítica 9.8 < 0.2.2 04/08/2023 Sí CVE-2023-33666 Inyección SQL en el módulo aioptimizedcombinations de ai-dev
aioptimizedcombinations Crítica 9.8 < 0.1.3 03/08/2023 Sí CVE-2023-33493 Subida de ficheros peligrosos sin restricción en el módulo Ajaxmanager (ajaxmanager)
ajaxmanager Crítica 9.8 ≤ 2.3.0 01/08/2023 No CVE-2023-26859 Inyección SQL en el módulo sendinblue 4.0.15 y anteriores
sendinblue Crítica 9.8 ≤ 4.0.15 26/07/2023 Sí CVE-2023-33777 Directory traversal en /functions/fbaorder.php del módulo amazon antes de la 5.2.24
amazon Media 5.3 < 5.2.24 25/07/2023 No CVE-2023-30200 Path traversal en el módulo Image: WebP, Compress, Zoom (ultimateimagetool) de Advanced Plugins hasta la 2.1.02
ultimateimagetool Alta 7.5 < 2.1.03 20/07/2023 Sí CVE-2023-30153 Inyección SQL en el módulo Payplug (payplug) 3.6.0 a 3.7.1
payplug Crítica 9.8 ≥ 3.6.0 < 3.8.2 18/07/2023 Sí CVE-2023-30151 Inyección SQL en el módulo Boxtal (envoimoinscher)
envoimoinscher Crítica 9.8 < 3.1.10 13/07/2023 No CVE-2023-26861 Inyección SQL en el módulo vivawallet 1.7.10 y anteriores
vivawallet Crítica 9.8 ≤ 1.7.10 11/07/2023 Sí CVE-2023-33664 Inyección SQL en el módulo aicombinationsonfly de ai-dev antes de la 0.3.1
aicombinationsonfly Alta 8.8 < 0.3.1 07/07/2023 Sí CVE-2023-27845 Inyección SQL en el módulo lekerawen_ocs antes de la 1.4.1
kerawen_ocs Crítica 9.8 < 1.4.1 07/07/2023 Sí CVE-2023-30195 Descarga de datos personales en JSON en Detailed Order (lgdetailedorder) de Linea Grafica hasta la 1.1.20
lgdetailedorder Alta 7.5 < 1.1.21 06/07/2023 No CVE-2023-31672 Inyección SQL en el módulo Length, weight or volume sell (ailinear)
ailinear Crítica 9.8 < 2.4.3 15/06/2023 Sí CVE-2023-30150 Inyección SQL en el módulo leocustomajax
leocustomajax Crítica 9.8 = 1.0.0 14/06/2023 No CVE-2023-31671 Inyección SQL en el módulo postfinance
postfinance Crítica 9.8 < 17.1.14 14/06/2023 Sí CVE-2023-30198 Control de acceso incorrecto en el módulo winbizpayment <= 1.0.2
winbizpayment Alta 7.5 ≤ 1.0.2 12/06/2023 No CVE-2023-29632 Inyección SQL en el módulo jmspagebuilder 3.x
jmspagebuilder Crítica 9.8 — 06/06/2023 Sí CVE-2023-29629 Inyección SQL en el módulo jmsthemelayout 2.5.5
jmsthemelayout Crítica 9.8 = 2.5.5 05/06/2023 No CVE-2023-29630 Inyección SQL en el módulo jmsmegamenu 1.1.x y 2.0.x
= 2.0.0 05/06/2023 No
jmsvermegamenu Crítica 9.8 = 1.0.0= 2.0.0 05/06/2023 No
CVE-2023-29631 Control de acceso incorrecto en el módulo jmsslider 1.6.0
jmsslider Crítica 9.8 = 1.6.0 05/06/2023 No CVE-2023-30149 Inyección SQL en el módulo City Autocomplete (cityautocomplete) de ebewe.net
< 2.0.3 02/06/2023 No
cityautocomplete Crítica 9.8 < 1.8.12< 2.0.3 02/06/2023 No
CVE-2023-3031 Path traversal en el módulo King-Avis antes de la 17.3.15
kingavis Media 4.9 < 17.3.15 02/06/2023 No CVE-2023-27639 Lectura de ficheros XML por directory traversal en ajax.php del módulo tshirtecommerce (Custom Product Designer) 2.1.4
tshirtecommerce Alta 7.5 ≤ 2.1.4 01/06/2023 Sí CVE-2023-27640 Lectura de ficheros por directory traversal en fonts.php del módulo tshirtecommerce (Custom Product Designer) 2.1.4
tshirtecommerce Alta 7.5 ≤ 2.1.4 01/06/2023 Sí CVE-2023-30197 Control de acceso incorrecto en el módulo My inventory (myinventory) de Webbax <= 1.6.6
myinventory Alta 7.5 < 1.6.7 31/05/2023 No CVE-2023-30196 Control de acceso incorrecto en el módulo salesbooster <= 1.10.4
salesbooster Alta 7.5 < 1.10.5 30/05/2023 Sí CVE-2023-33278 Inyección SQL ciega en el módulo scexportcustomers de Store Commander
scexportcustomers Crítica 9.8 < 3.6.2 25/05/2023 No CVE-2023-33279 Inyección SQL ciega en el módulo scfixmyprestashop de Store Commander
scfixmyprestashop Crítica 9.8 — 25/05/2023 No CVE-2023-33280 Inyección SQL ciega en el módulo scquickaccounting de Store Commander
scquickaccounting Crítica 9.8 < 3.7.4 25/05/2023 No CVE-2023-30199 Control de acceso incorrecto en el módulo customexporter <= 1.7.20
customexporter Alta 7.5 ≤ 1.7.20 19/05/2023 Sí CVE-2023-30191 Inyección SQL en el módulo cdesigner antes de la 3.1.9
cdesigner Crítica 9.8 ≤ 3.2.2 17/05/2023 Sí CVE-2023-30189 Inyección SQL en el módulo posstaticblocks
posstaticblocks Crítica 9.8 ≤ 1.0.0 16/05/2023 Sí CVE-2023-30281 Acceso a exportaciones de clientes sin permisos en scquickaccounting de Store Commander antes de la 3.7.3
scquickaccounting Alta 7.5 < 3.7.3 16/05/2023 No CVE-2023-30192 Inyección SQL en el módulo possearchproducts 1.7
possearchproducts Crítica 9.8 = 1.7 12/05/2023 Sí CVE-2023-30194 Inyección SQL en el módulo posstaticfooter
posstaticfooter Crítica 9.8 ≤ 1.0.0 10/05/2023 Sí CVE-2023-30282 Control de acceso incorrecto en el módulo scexportcustomers <= 3.6.1
scexportcustomers Alta 7.5 ≤ 3.6.1 04/05/2023 No CVE-2023-27843 Inyección SQL en el módulo askforaquote 5.4.2 y anteriores
askforaquote Crítica 9.8 ≤ 5.4.2 26/04/2023 Sí CVE-2023-30838 Posible inyección XSS a través del método Validate::isCleanHTML Core Crítica 9.9 < 1.7.8.9
≥ 8.0.0 < 8.0.4 25/04/2023 Sí
≥ 8.0.0 < 8.0.4 25/04/2023 Sí
CVE-2023-30839 Elusión del filtro SQL que permite peticiones de escritura arbitrarias con el «Gestor SQL» Core Crítica 9.9 < 1.7.8.9
≥ 8.0.0 < 8.0.4 25/04/2023 Sí
≥ 8.0.0 < 8.0.4 25/04/2023 Sí
CVE-2023-26865 Inyección SQL en el módulo bdroppy 2.2.12 y anteriores
bdroppy Crítica 9.8 < 2.2.28 24/04/2023 No CVE-2023-28839 Inyección SQL en el módulo Shoppingfeed (shoppingfeed) 1.4.0 a 1.8.2
shoppingfeed Crítica 9.8 ≥ 1.4.0 < 1.8.3 18/04/2023 Sí CVE-2023-27844 Inyección SQL en el módulo leurlrewrite 1.0 y anteriores
leurlrewrite Crítica 9.8 ≤ 1.0 17/04/2023 Sí CVE-2023-27032 Inyección SQL en el módulo advancedpopupcreator 1.1.21 a 1.1.24
advancedpopupcreator Crítica 9.8 ≥ 1.1.21 < 1.1.25 12/04/2023 Sí CVE-2023-26860 Inyección SQL en el módulo lgbudget hasta la 1.0.3
lgbudget Alta 8.8 ≤ 1.0.3 10/04/2023 Sí CVE-2023-27033 Inyección de código en el módulo cdesigner 3.1.3 a 3.1.8
cdesigner Crítica 9.8 ≥ 3.1.3 < 3.2.2 07/04/2023 Sí CVE-2023-26858 Inyección SQL en el módulo faqs 3.1.6 de PrestaSHp
faqs Crítica 9.8 = 3.1.6 31/03/2023 Sí CVE-2023-28843 Inyección SQL en el módulo paypal 3.12.0 a 3.16.3 (solo PrestaShop 1.6)
paypal Crítica 9.8 ≥ 3.12.0 < 3.16.4 31/03/2023 Sí CVE-2023-27847 Inyección SQL en el módulo xipblog 2.0.1 y anteriores
xipblog Crítica 9.8 ≤ 2.0.1 27/03/2023 No CVE-2023-26864 Inyección SQL en el módulo smplredirectionsmanager 1.1.19 y anteriores
smplredirectionsmanager Crítica 9.8 < 1.1.19 24/03/2023 Sí CVE-2023-27034 Inyección SQL en el módulo jmsblog 2.5.5
= 2.5.6 23/03/2023 Sí
jmsblog Crítica 9.8 = 2.5.5= 2.5.6 23/03/2023 Sí
CVE-2023-27637 Inyección SQL en tshirtecommerce (Custom Product Designer) 2.1.4 mediante product_id
tshirtecommerce Crítica 9.8 = 2.1.4 22/03/2023 Sí CVE-2023-27638 Inyección SQL en tshirtecommerce (Custom Product Designer) 2.1.4 mediante tshirtecommerce_design_cart_id
tshirtecommerce Crítica 9.8 = 2.1.4 22/03/2023 Sí CVE-2023-27569 Inyección SQL mediante las cabeceras User-Agent o Referer en el módulo eo_tags antes de la 1.3.0
eo_tags Crítica 9.8 ≥ 1.2.0 < 1.3.0 21/03/2023 No CVE-2023-27570 Inyección SQL mediante la cookie _ga en el módulo eo_tags antes de la 1.4.19
eo_tags Crítica 9.8 ≥ 1.2.0 < 1.4.19 21/03/2023 Sí CVE-2023-25206 Inyección SQL en el módulo ws_productreviews antes de la 3.6.2
ws_productreviews Alta 8.8 < 3.6.2 14/03/2023 No CVE-2023-25207 Inyección SQL en el módulo dpdfrance antes de la 6.1.3
dpdfrance Crítica 9.8 < 6.1.3 13/03/2023 No CVE-2023-24763 Inyección SQL autenticada en el módulo Xen Forum (xenforum) hasta la 2.13.0
xenforum Alta 8.8 < 2.13.0 06/03/2023 Sí CVE-2023-23315 Inyección SQL ciega en el módulo stripejs hasta la 4.5.5
stripejs Crítica 9.8 < 4.5.5 01/03/2023 No CVE-2022-46965 Inyección SQL en el módulo totadministrativemandate antes de la 1.7.1
totadministrativemandate Alta 8.8 ≤ 1.7.1 02/02/2023 No CVE-2022-46639 Directory traversal en descarga_etiqueta.php del módulo de Correos (correosoficial) para PrestaShop 1.7.x
correosoficial Alta 7.5 ≥ 1.7.0 ≤ 1.7.8 23/01/2023 No CVE-2022-40841 XSS por el parámetro htmlNodes en NdkAdvancedCustomizationFields (ndk_advanced_custom_fields) 3.5.0
ndk_advanced_custom_fields Media 6.1 ≤ 3.5.0 21/12/2022 No CVE-2022-46158 Posible exposición de información en el directorio upload Core Media 5.3 < 1.7.8.8 08/12/2022 Sí
CVE-2022-40842 SSRF en el módulo NdkAdvancedCustomizationFields 3.5.0 de ndk design
ndk_advanced_custom_fields Crítica 9.1 ≤ 3.5.0 22/11/2022 No CVE-2022-44727 Inyección SQL mediante cookie en el módulo EU Cookie Law GDPR (lgcookieslaw) antes de la 2.1.3
lgcookieslaw Crítica 9.1 < 2.1.3 10/11/2022 No CVE-2022-40840 XSS en createPdf.php de NdkAdvancedCustomizationFields (ndk_advanced_custom_fields) 3.5.0
ndk_advanced_custom_fields Media 6.1 ≤ 3.5.0 02/11/2022 No CVE-2022-40839 Inyección SQL sin autenticación en NdkAdvancedCustomizationFields (ndk_advanced_custom_fields) 3.5.0
ndk_advanced_custom_fields Alta 7.5 = 3.5.0 01/11/2022 No CVE-2022-35933 Neutralización incorrecta de la entrada al generar la página (Cross-site Scripting) en prestashop/productcomments
productcomments Media 6.1 < 5.0.2 02/09/2022 Sí CVE-2022-22897 Inyección SQL sin autenticación en AP PageBuilder (appagebuilder) de ApolloTheme hasta la 2.4.4
appagebuilder Crítica 9.8 ≤ 2.4.5 29/08/2022 Sí CVE-2022-31181 Cadena: inyección SQL (CWE-89) e inyección en eval (CWE-95) Core Crítica 9.8 ≥ 1.6.0.10 < 1.7.8.7 01/08/2022 Sí
CVE-2020-21967 Subida de ficheros con ejecución de código en el Catálogo de PrestaShop 1.7.6.7 Core Media 4.8 = 1.7.6.7 13/07/2022 No
CVE-2022-21686 Inyección de plantillas Twig en el servidor Core Crítica 9.8 ≥ 1.7.0.0 ≤ 1.7.8.3 26/01/2022 Sí
CVE-2012-20001 XSS por la cadena «<object data='data:text/html» en el campo de mensaje antes de la 1.5.2 Core Media 6.1 < 1.5.2 21/12/2021 No
CVE-2021-43789 Inyección SQL ciega mediante los filtros de búsqueda Core Crítica 9.8 ≥ 1.7.5.0 < 1.7.8.2 07/12/2021 Sí
CVE-2021-40814 Inyección SQL en el módulo Customer Photo Gallery (customersgallery) antes de la 2.9.4
customersgallery Crítica 9.8 < 2.9.4 08/09/2021 No CVE-2021-37538 Múltiples inyecciones SQL sin autenticación en SmartBlog (smartblog) antes de la 4.06
smartblog Crítica 9.8 < 4.06 24/08/2021 No CVE-2021-36748 Inyección SQL en el controlador de listado del módulo Prestahome Blog (ph_simpleblog) antes de la 1.7.8
ph_simpleblog Alta 7.5 < 1.7.8 20/08/2021 No CVE-2021-21418 Posible inyección XSS en el campo de condiciones del boletín
ps_emailsubscription Media 5.4 ≥ 2.6.0 < 2.6.1 31/03/2021 Sí CVE-2021-21398 Posible inyección XSS a través de la clase DataColumn del Grid Core Media 5.4 ≥ 1.7.7.0 < 1.7.7.3 30/03/2021 Sí
CVE-2021-21308 Gestión de sesión incorrecta en el cierre de sesión parcial (soft logout) Core Crítica 9.1 < 1.7.7.2 26/02/2021 Sí
CVE-2020-16194 IDOR en las direcciones de factura y entrega del módulo Opart devis (opartdevis) antes de la 4.0.2
opartdevis Media 5.3 < 4.0.2 04/02/2021 No CVE-2021-3110 Inyección SQL ciega basada en tiempo en PrestaShop 1.7.7.0 (productcomments) Core Crítica 9.8 = 1.7.7.0 20/01/2021 No
CVE-2020-26248 Inyección SQL ciega durante el proceso CommentGrade
productcomments Alta 8.2 < 4.2.1 03/12/2020 Sí CVE-2020-26224 Control de acceso incorrecto en la función submitReorder Core Alta 7.5 < 1.7.6.9 16/11/2020 Sí
CVE-2020-26225 XSS reflejado con parámetros en PostComment
productcomments Alta 8.7 ≥ 4.0.0 < 4.2.0 16/11/2020 Sí CVE-2020-9368 Lectura de ficheros arbitrarios por directory traversal en el módulo Olea Gift On Order (giftonorder) hasta la 5.0.8
giftonorder Alta 7.5 ≤ 5.0.8 02/11/2020 No CVE-2020-15160 Inyección SQL ciega en la edición de productos del catálogo Core Crítica 9.8 ≥ 1.7.5.0 < 1.7.6.8 24/09/2020 Sí
CVE-2020-15161 Posible inyección XSS a través del formulario de contacto Core Media 6.1 ≥ 1.6.0.4 < 1.7.6.8 24/09/2020 Sí
CVE-2020-15162 XSS almacenado en los ficheros subidos Core Media 5.4 ≥ 1.5.0.0 < 1.7.6.8 24/09/2020 Sí
CVE-2020-15178 Posible inyección XSS a través del formulario de contacto
contactform Crítica 9.3 < 4.3.0 15/09/2020 Sí CVE-2020-15102 Control de acceso incorrecto en el formulario del panel de control
dashproducts Media 6.5 < 2.1.0 21/07/2020 Sí CVE-2020-15080 Revelación de información en el archivo de la release Core Media 5.3 < 1.7.6.6 02/07/2020 Sí
CVE-2020-15081 Exposición de información en el directorio upload Core Media 5.3 < 1.7.6.6 02/07/2020 Sí
CVE-2020-15082 Control externo de los ajustes de configuración desde el panel de control Core Alta 8.8 ≥ 1.6.0.1 < 1.7.6.6 02/07/2020 Sí
CVE-2020-15083 XSS reflejado al subir una imagen en la página de producto Core Media 6.1 < 1.7.6.6 02/07/2020 Sí
CVE-2020-12120 Exposición de credenciales y datos de pedidos en el módulo de Correos Express (correosexpress) para PrestaShop 1.6 y 1.7
correosexpress Alta 7.5 ≥ 1.6 ≤ 1.7 27/04/2020 No CVE-2020-5264 XSS reflejado en la página de seguridad comprometida Core Media 6.1 < 1.7.6.5 20/04/2020 Sí
CVE-2020-5265 XSS reflejado en la página AdminAttributesGroups Core Media 6.1 < 1.7.6.5 20/04/2020 Sí
CVE-2020-5271 XSS reflejado en el calendario del panel de control Core Media 6.1 < 1.7.6.5 20/04/2020 Sí
CVE-2020-5287 Control de acceso incorrecto en la búsqueda de clientes Core Media 6.5 < 1.7.6.5 20/04/2020 Sí
CVE-2020-5288 Control de acceso incorrecto en la página de atributos de producto Core Media 6.5 < 1.7.6.5 20/04/2020 Sí
CVE-2020-5293 Control de acceso incorrecto en la página de producto con combinaciones, adjuntos y precios específicos Core Media 6.5 < 1.7.6.5 20/04/2020 Sí
CVE-2020-5266 XSS almacenado en la página de edición del back office
ps_linklist Media 5.4 ≥ 1.0.4 < 3.1.0 16/04/2020 Sí CVE-2020-5273 XSS almacenado en las URL personalizadas
ps_linklist Media 5.4 ≥ 3.0.0 < 3.1.0 16/04/2020 Sí CVE-2020-5294 XSS reflejado en los campos de redes sociales
ps_socialfollow Media 5.4 ≥ 1.0.0 < 2.1.0 16/04/2020 Sí CVE-2020-5277 XSS reflejado con el parámetro url_name
ps_facetedsearch Media 5.4 < 3.5.0 25/03/2020 Sí CVE-2013-6295 Escalada de privilegios desde una cuenta de vendedor en PrestaShop 1.5.5 Core Crítica 9.8 = 1.5.5.0 18/02/2020 No
CVE-2013-4791 XSS persistente en TinyMCE desde perfiles de bajo nivel antes de la 1.4.11 Core Media 5.4 < 1.4.11 14/02/2020 No
CVE-2012-2517 XSS por el índice del parámetro product[] en ajax.php antes de la 1.4.9 Core Media 6.1 < 1.4.9.0 11/02/2020 No
CVE-2013-6358 Ejecución de código por usuarios autenticados en PrestaShop 1.5.5 mediante un perfil manipulado Core Crítica 9.0 = 1.5.5.0 23/01/2020 No
CVE-2020-6632 XSS al añadir o quitar un enlace de acceso rápido en PrestaShop 1.7.6.2 Core Media 6.1 = 1.7.6.2 09/01/2020 Sí
GHSA-f884-gm86-cg3q El módulo de búsqueda por facetas podría ser vulnerable por CVE-2017-9841
= 3.0.0 07/01/2020 Sí
ps_facetedsearch Sin puntuación = 2.2.1= 3.0.0 07/01/2020 Sí
GHSA-wqq8-mqj9-697f Algunos ZIP del módulo autoupgrade eran vulnerables por CVE-2017-9841
autoupgrade Sin puntuación — 07/01/2020 Sí CVE-2019-19594 Ejecución remota de código por subida de .php en RESET.PRO Adobe Stock API Integration (fotoliaFoto)
= 1.7 05/12/2019 No
fotoliafoto Crítica 9.8 = 1.6= 1.7 05/12/2019 No
CVE-2019-19595 Ejecución remota de código por subida de .php en RESET.PRO Adobe Stock API integration (advanced_form_maker_edit)
= 1.7 05/12/2019 No
advanced_form_maker_edit Crítica 9.8 = 1.6= 1.7 05/12/2019 No
CVE-2019-15565 Inyección SQL en el conector ICOMMKT (icommktconnector) antes de la 1.0.7
icommktconnector Crítica 9.8 < 1.0.7 26/08/2019 Sí CVE-2019-13461 Referencia directa insegura a objetos (IDOR) en las direcciones del checkout antes de la 1.7.6.0 RC2 Core Alta 7.5 ≤ 1.7.5.2 09/07/2019 No
CVE-2019-11876 XSS reflejado por el parámetro shop_country del instalador en PrestaShop 1.7.5.2 Core Media 6.1 = 1.7.5.2 24/05/2019 No
CVE-2018-20717 Ejecución remota de código por inyección de objetos PHP en la sección de pedidos antes de la 1.7.2.5 Core Alta 8.8 < 1.7.2.5 15/01/2019 No
CVE-2018-19355 Ejecución remota de código por subida de ficheros en el complemento Customer Files Upload (orderfiles)
orderfiles Crítica 9.8 ≥ 1.5.0.0 ≤ 1.7.0.0 19/11/2018 No CVE-2018-19124 Escritura en ficheros de imagen arbitrarios en Windows en PrestaShop 1.6.x antes de la 1.6.1.23 y 1.7.x antes de la 1.7.4.4 Core Alta 7.5 ≥ 1.6.0.1 < 1.6.1.23
≥ 1.7.0.0 < 1.7.4.4 09/11/2018 Sí
≥ 1.7.0.0 < 1.7.4.4 09/11/2018 Sí
CVE-2018-19125 Borrado remoto de un directorio de imágenes en PrestaShop 1.6.x antes de la 1.6.1.23 y 1.7.x antes de la 1.7.4.4 Core Alta 7.5 ≥ 1.6.0.1 < 1.6.1.23
≥ 1.7.0.0 < 1.7.4.4 09/11/2018 Sí
≥ 1.7.0.0 < 1.7.4.4 09/11/2018 Sí
CVE-2018-19126 Ejecución remota de código mediante subida de ficheros en PrestaShop 1.6.x antes de la 1.6.1.23 y 1.7.x antes de la 1.7.4.4 Core Crítica 9.8 ≥ 1.6.0.1 < 1.6.1.23
≥ 1.7.0.0 < 1.7.4.4 09/11/2018 Sí
≥ 1.7.0.0 < 1.7.4.4 09/11/2018 Sí
CVE-2018-13784 Cifrado de cookies incorrecto en PrestaShop antes de la 1.6.1.20 y 1.7.x antes de la 1.7.3.4 Core Crítica 9.1 < 1.6.1.20
≥ 1.7.0.0 < 1.7.3.4 09/07/2018 No
≥ 1.7.0.0 < 1.7.3.4 09/07/2018 No
CVE-2018-10942 Ejecución remota de código por subida de .phtml en el complemento Attribute Wizard (attributewizardpro)
attributewizardpro Crítica 9.8 = 1.6.9 10/05/2018 No CVE-2018-8824 Inyección SQL en el módulo Responsive Mega Menu Pro (bamegamenu) 1.0.32
bamegamenu Crítica 9.8 ≥ 1.5.5.0 ≤ 1.7.2.5 10/05/2018 No CVE-2018-8823 Ejecución de código PHP arbitrario en el módulo Responsive Mega Menu Pro (bamegamenu) 1.0.32
bamegamenu Crítica 9.8 ≥ 1.5.5.0 ≤ 1.7.2.5 28/03/2018 No CVE-2018-7491 Clickjacking por falta de X-Frame-Options en el .htaccess generado hasta la 1.7.2.5 Core Alta 7.5 ≤ 1.7.2.5 26/02/2018 No
CVE-2018-5681 XSS por edición del código fuente en «Páginas > Editar página» en PrestaShop 1.7.2.4 Core Media 5.4 = 1.7.2.4 13/01/2018 No
CVE-2018-5682 Enumeración de usuarios por la función de restablecer contraseña en PrestaShop 1.7.2.4 Core Media 5.3 = 1.7.2.4 13/01/2018 No
CVE-2017-9841 Ejecución remota de código en PHPUnit (eval-stdin.php) con la carpeta /vendor expuesta Dependencia Crítica 9.8 ≤ 4.8.27
≥ 5.0.0 < 5.6.3 27/06/2017 Sí
≥ 5.0.0 < 5.6.3 27/06/2017 Sí
CVE-2015-1175 XSS por layered_price_slider en blocklayered-ajax.php del módulo blocklayered en PrestaShop 1.6.0.9 y anteriores Core Media 4.3 ≤ 1.6.0.9 22/01/2015 No
CVE-2014-2008 Inyección SQL en confirm.php del módulo de pago mPAY24 (mpay24) antes de la 1.6
= 1.4.0
= 1.4.1
+9 12/09/2014 Sí
mpay24 Alta 7.5 ≤ 1.5.1= 1.4.0
= 1.4.1
+9 12/09/2014 Sí
CVE-2014-2009 Exposición de credenciales por api/curllog.log en el módulo de pago mPAY24 (mpay24) antes de la 1.6
= 1.4.0
= 1.4.1
+9 12/09/2014 No
mpay24 Media 5.0 ≤ 1.5.1= 1.4.0
= 1.4.1
+9 12/09/2014 No
CVE-2012-6641 XSS en redirect.php del módulo Socolissimo en PrestaShop antes de la 1.4.7.2 Core Media 4.3 ≤ 1.4.7.1
= 1.4.0.1
= 1.4.0.2
+25 07/04/2014 No
= 1.4.0.1
= 1.4.0.2
+25 07/04/2014 No
CVE-2012-5799 El módulo Canada Post no verifica el nombre de host del certificado X.509 (man-in-the-middle)
canadapost Media 5.8 — 04/11/2012 No CVE-2012-5800 El módulo eBay no verifica el nombre de host del certificado X.509 (man-in-the-middle)
ebay Media 5.8 — 04/11/2012 No CVE-2012-5801 El módulo PayPal no verifica el nombre de host del certificado X.509 (man-in-the-middle)
paypal Media 5.8 — 04/11/2012 No CVE-2011-4545 Inyección CRLF en admin/displayImage.php de PrestaShop 1.4.4.1 Core Media 5.0 = 1.4.4.1 02/12/2011 No
CVE-2011-4544 Múltiples XSS en el módulo mondialrelay y el gestor de ficheros de admin en PrestaShop antes de la 1.5 Core Media 4.3 ≤ 1.4.0.6
= 0.8.1
= 0.8.2
+17 01/12/2011 No
= 0.8.1
= 0.8.2
+17 01/12/2011 No
CVE-2011-3796 Revelación de la ruta de instalación por petición directa a ficheros .php en PrestaShop 1.4.0.6 Core Media 5.0 = 1.4.0.6 24/09/2011 No
CVE-2008-6503 Múltiples XSS por PATH_INFO en admin/login.php y order.php en PrestaShop 1.1.0.3 Core Media 4.3 = 1.1.0.3 20/03/2009 No
CVE-2008-5791 Múltiples vulnerabilidades sin especificar en PrestaShop antes de la 1.1 Beta 2 Core Crítica 10.0 ≤ 1.0
= 0.8.1
= 0.8.2
+14 31/12/2008 Sí
= 0.8.1
= 0.8.2
+14 31/12/2008 Sí
Ningún aviso coincide con los filtros.
De dónde salen los datos
Avisos del equipo de seguridad de PrestaShop en GitHub (GHSA), registros CVE de la NVD y avisos de Friends of Presta, fundidos en una ficha única. Las fuentes se consultan a diario; cada ficha enlaza su origen.
Explora por componente
Todos los avisos del core por rama de PrestaShop, los de cada módulo en su propia página y los del propio PHP por rama.
Avisos del core (94) · Avisos por módulo (209) · Avisos de PHP (29)
API REST pública
Consulta la base desde tu código
Los mismos datos de esta web, en JSON y sin clave. Filtra por módulo o por versión del core, o comprueba toda una tienda en una sola petición.
- Una ficha por aviso: puntuación, vector CVSS, versiones afectadas, referencias y fuente
- POST /v1/check: el core y todos los módulos de una tienda de una vez
- Es la API que usa el conector PrestaShield para avisar a cada tienda
Por módulo Por versión del core Un aviso
# Por módulo GET https://api.prestashield.com/v1/vulnerabilities?type=module&slug=ps_facetedsearch&version=4.0.3 # Por versión del core GET https://api.prestashield.com/v1/vulnerabilities?type=core&version=8.2.3&lang=es # Un aviso GET https://api.prestashield.com/v1/vulnerabilities/GHSA-jf3w-9rmr-5rcr # POST /v1/check POST https://api.prestashield.com/v1/check {"ps_version":"8.2.1","modules":[{"slug":"ps_checkout","version":"4.4.0"}]}
Deja de comprobar la lista a mano
PrestaShield conoce los módulos y la versión de tu tienda, los cruza con esta base y te avisa en cuanto se publica un aviso que te afecta. Sin acceso FTP ni datos de tus clientes.
Monitorizar mi tienda automáticamenteEscáner externo gratuito de 2 minutos