Vulnerabilidades del core de PrestaShop

94 avisos de seguridad del núcleo de PrestaShop, agrupados por rama. Cada aviso aparece en todas las ramas a las que afecta.

PrestaShop 9.x 10 PrestaShop 8.x 35 PrestaShop 1.7.x 53 PrestaShop 1.6.x 5 PrestaShop 1.5.x 3 PrestaShop 1.4.x 7

PrestaShop 9.x · 10

IDAvisoSeveridadVersiones afectadasPublicadoParche

CVE-2026-84186 Suplantación de la IP del cliente mediante X-Forwarded-For en Tools::getRemoteAddr() Media 6.9 ≥ 8.0.0 < 8.2.8
≥ 9.0.0 < 9.1.5 07/09/2026 No

GHSA-jf3w-9rmr-5rcr Control de acceso incorrecto en el endpoint de notificaciones del back office expone datos de clientes Media 4.3 ≥ 9.0.0 < 9.1.5
≥ 8.0.0 < 8.2.8 18/08/2026 Sí

GHSA-whxq-pxj5-qq7v Inyección SQL a través de los filtros de los listados del back office Media 6.5 ≥ 9.0.0 < 9.1.5
≥ 8.0.0 < 8.2.8 18/08/2026 Sí

GHSA-2cr4-vw9p-pjvf La dirección IP del cliente se puede falsificar mediante la cabecera X-Forwarded-For Alta 7.3 ≥ 9.0.0 < 9.1.5
≥ 8.0.0 < 8.2.8 18/08/2026 Sí

GHSA-xrwj-pq6w-f8m4 Falsificación de peticiones del lado del servidor (SSRF) mediante las URL de imágenes en la importación CSV Alta 8.2 ≥ 9.0.0 < 9.1.5
≥ 8.0.0 < 8.2.8 18/08/2026 Sí

GHSA-w6j9-q9rq-wrqg Inyección de fórmulas en las exportaciones CSV (inyección CSV) Alta 8.0 ≥ 9.0.0 < 9.1.5
≥ 8.0.0 < 8.2.8 18/08/2026 Sí

CVE-2026-44212 CWE-79: XSS almacenado ejecutable en la vista de atención al cliente Crítica 9.3 ≤ 1.7.8.11
< 8.2.6
< 9.1.1 14/05/2026 Sí

CVE-2026-33673 CWE-79: Varios XSS almacenados explotables mediante variables sin proteger en las plantillas Alta 7.6 < 8.2.5
≥ 9.0.0 < 9.1.0 26/03/2026 Sí

CVE-2026-33674 Corrección del uso incorrecto del framework de validación (CWE-1173) Media 5.3 < 8.2.5
≥ 9.0.0 < 9.1.0 26/03/2026 Sí

CVE-2026-25597 Enumeración por tiempo de respuesta en el formulario de acceso del front Media 5.3 < 8.2.4
≥ 9.0.0 < 9.0.3 06/02/2026 Sí

PrestaShop 8.x · 35

IDAvisoSeveridadVersiones afectadasPublicadoParche

CVE-2026-84186 Suplantación de la IP del cliente mediante X-Forwarded-For en Tools::getRemoteAddr() Media 6.9 ≥ 8.0.0 < 8.2.8
≥ 9.0.0 < 9.1.5 07/09/2026 No

GHSA-jf3w-9rmr-5rcr Control de acceso incorrecto en el endpoint de notificaciones del back office expone datos de clientes Media 4.3 ≥ 9.0.0 < 9.1.5
≥ 8.0.0 < 8.2.8 18/08/2026 Sí

GHSA-whxq-pxj5-qq7v Inyección SQL a través de los filtros de los listados del back office Media 6.5 ≥ 9.0.0 < 9.1.5
≥ 8.0.0 < 8.2.8 18/08/2026 Sí

GHSA-2cr4-vw9p-pjvf La dirección IP del cliente se puede falsificar mediante la cabecera X-Forwarded-For Alta 7.3 ≥ 9.0.0 < 9.1.5
≥ 8.0.0 < 8.2.8 18/08/2026 Sí

GHSA-xrwj-pq6w-f8m4 Falsificación de peticiones del lado del servidor (SSRF) mediante las URL de imágenes en la importación CSV Alta 8.2 ≥ 9.0.0 < 9.1.5
≥ 8.0.0 < 8.2.8 18/08/2026 Sí

GHSA-w6j9-q9rq-wrqg Inyección de fórmulas en las exportaciones CSV (inyección CSV) Alta 8.0 ≥ 9.0.0 < 9.1.5
≥ 8.0.0 < 8.2.8 18/08/2026 Sí

CVE-2026-14846 Inyección de fórmulas por el campo «Alias» de la dirección en la exportación «Obtener mis datos en CSV» (8.2.1) Media 4.5 = 8.2.1 13/07/2026 No

CVE-2026-44212 CWE-79: XSS almacenado ejecutable en la vista de atención al cliente Crítica 9.3 ≤ 1.7.8.11
< 8.2.6
< 9.1.1 14/05/2026 Sí

CVE-2026-33673 CWE-79: Varios XSS almacenados explotables mediante variables sin proteger en las plantillas Alta 7.6 < 8.2.5
≥ 9.0.0 < 9.1.0 26/03/2026 Sí

CVE-2026-33674 Corrección del uso incorrecto del framework de validación (CWE-1173) Media 5.3 < 8.2.5
≥ 9.0.0 < 9.1.0 26/03/2026 Sí

CVE-2026-25597 Enumeración por tiempo de respuesta en el formulario de acceso del front Media 5.3 < 8.2.4
≥ 9.0.0 < 9.0.3 06/02/2026 Sí

CVE-2025-51586 Enumeración de correos electrónicos Baja 3.7 < 8.2.1 08/09/2025 Sí

CVE-2025-25692 Deserialización PHAR en la función _getHeaders de PrestaShop 8.2.0 Media 6.5 = 8.2.0 30/07/2025 No

CVE-2025-25691 Deserialización PHAR en /themes/import de PrestaShop 8.2.0 Media 6.5 = 8.2.0 30/07/2025 No

CVE-2025-1230 XSS almacenado por el parámetro link del index.php del directorio de administración en PrestaShop 8.1.7 Media 4.8 = 8.1.7 12/02/2025 No

CVE-2024-36626 Desreferencia de puntero nulo en la función math_round de Tools.php en PrestaShop 8.1.4 Media 5.3 = 8.1.4 29/11/2024 Sí

CVE-2024-41651 Ejecución remota de código a través de la actualización de módulos en PrestaShop 8.1.7 y anteriores (disputada) Crítica 9.8 ≤ 8.1.7 12/08/2024 No

CVE-2024-34716 XSS a través del formulario de contacto del front office, mediante la subida de ficheros Crítica 9.6 ≥ 8.1.0 < 8.1.6 14/05/2024 Sí

CVE-2024-34717 Un cliente anónimo puede descargar las facturas de otros clientes Media 5.3 = 8.1.5 14/05/2024 Sí

CVE-2024-26129 Revelación de rutas en una variable JavaScript Media 5.8 ≥ 8.1.0 < 8.1.4 19/02/2024 Sí

CVE-2024-21628 Se puede guardar un XSS en la base de datos desde el formulario «añadir un mensaje» del detalle de pedido (front) Media 6.1 < 8.1.3 02/01/2024 Sí

CVE-2024-21627 Algunos atributos no se escapan en el método Validate::isCleanHTML Alta 8.1 < 1.7.8.11
≥ 8.0.0 < 8.1.3 02/01/2024 Sí

CVE-2023-43663 Desinstalación de módulos desde el back office incluso con permisos bajos Media 6.3 < 8.1.2 28/09/2023 Sí

CVE-2023-43664 Un empleado sin ningún permiso puede listar todos los módulos instalados Media 4.3 < 8.1.2 28/09/2023 Sí

CVE-2023-39524 Posible inyección SQL en la búsqueda de productos del back office Crítica 9.8 < 8.1.1 07/08/2023 Sí

CVE-2023-39525 Path traversal: borrado de ficheros Crítica 9.1 < 8.1.1 07/08/2023 Sí

CVE-2023-39526 Vulnerabilidad en el gestor SQL (posible RCE) Crítica 9.8 < 1.7.8.10
≥ 8.0.0 < 8.0.5
= 8.1.0 07/08/2023 Sí

CVE-2023-39527 Nueva posible inyección XSS a través del método Validate::isCleanHTML Alta 8.3 < 1.7.8.10
≥ 8.0.0 < 8.0.5
= 8.1.0 07/08/2023 Sí

CVE-2023-39528 Lectura de ficheros mediante path traversal Alta 8.6 < 8.1.1 07/08/2023 Sí

CVE-2023-39529 Borrado de ficheros a través de la API de adjuntos Crítica 9.1 < 8.1.1 07/08/2023 Sí

CVE-2023-39530 Borrado de ficheros a través de CustomerMessage Crítica 9.1 < 8.1.1 07/08/2023 Sí

CVE-2023-30545 Lectura arbitraria de ficheros Alta 7.7 < 1.7.8.9
≥ 8.0.0 < 8.0.4 25/04/2023 Sí

CVE-2023-30838 Posible inyección XSS a través del método Validate::isCleanHTML Crítica 9.9 < 1.7.8.9
≥ 8.0.0 < 8.0.4 25/04/2023 Sí

CVE-2023-30839 Elusión del filtro SQL que permite peticiones de escritura arbitrarias con el «Gestor SQL» Crítica 9.9 < 1.7.8.9
≥ 8.0.0 < 8.0.4 25/04/2023 Sí

CVE-2023-25170 Posible fijación del token CSRF Alta 8.8 < 8.0.1 13/03/2023 Sí

PrestaShop 1.7.x · 53

IDAvisoSeveridadVersiones afectadasPublicadoParche

CVE-2026-44212 CWE-79: XSS almacenado ejecutable en la vista de atención al cliente Crítica 9.3 ≤ 1.7.8.11
< 8.2.6
< 9.1.1 14/05/2026 Sí

CVE-2024-21627 Algunos atributos no se escapan en el método Validate::isCleanHTML Alta 8.1 < 1.7.8.11
≥ 8.0.0 < 8.1.3 02/01/2024 Sí

CVE-2023-39526 Vulnerabilidad en el gestor SQL (posible RCE) Crítica 9.8 < 1.7.8.10
≥ 8.0.0 < 8.0.5
= 8.1.0 07/08/2023 Sí

CVE-2023-39527 Nueva posible inyección XSS a través del método Validate::isCleanHTML Alta 8.3 < 1.7.8.10
≥ 8.0.0 < 8.0.5
= 8.1.0 07/08/2023 Sí

CVE-2023-30545 Lectura arbitraria de ficheros Alta 7.7 < 1.7.8.9
≥ 8.0.0 < 8.0.4 25/04/2023 Sí

CVE-2023-30838 Posible inyección XSS a través del método Validate::isCleanHTML Crítica 9.9 < 1.7.8.9
≥ 8.0.0 < 8.0.4 25/04/2023 Sí

CVE-2023-30839 Elusión del filtro SQL que permite peticiones de escritura arbitrarias con el «Gestor SQL» Crítica 9.9 < 1.7.8.9
≥ 8.0.0 < 8.0.4 25/04/2023 Sí

CVE-2022-46158 Posible exposición de información en el directorio upload Media 5.3 < 1.7.8.8 08/12/2022 Sí

CVE-2022-31181 Cadena: inyección SQL (CWE-89) e inyección en eval (CWE-95) Crítica 9.8 ≥ 1.6.0.10 < 1.7.8.7 01/08/2022 Sí

CVE-2020-21967 Subida de ficheros con ejecución de código en el Catálogo de PrestaShop 1.7.6.7 Media 4.8 = 1.7.6.7 13/07/2022 No

CVE-2022-21686 Inyección de plantillas Twig en el servidor Crítica 9.8 ≥ 1.7.0.0 ≤ 1.7.8.3 26/01/2022 Sí

CVE-2021-43789 Inyección SQL ciega mediante los filtros de búsqueda Crítica 9.8 ≥ 1.7.5.0 < 1.7.8.2 07/12/2021 Sí

CVE-2021-21398 Posible inyección XSS a través de la clase DataColumn del Grid Media 5.4 ≥ 1.7.7.0 < 1.7.7.3 30/03/2021 Sí

CVE-2021-21302 Inyección CSV a través de la exportación CSV Alta 7.2 < 1.7.7.2 26/02/2021 Sí

CVE-2021-21308 Gestión de sesión incorrecta en el cierre de sesión parcial (soft logout) Crítica 9.1 < 1.7.7.2 26/02/2021 Sí

CVE-2021-3110 Inyección SQL ciega basada en tiempo en PrestaShop 1.7.7.0 (productcomments) Crítica 9.8 = 1.7.7.0 20/01/2021 No

CVE-2020-26224 Control de acceso incorrecto en la función submitReorder Alta 7.5 < 1.7.6.9 16/11/2020 Sí

CVE-2020-15160 Inyección SQL ciega en la edición de productos del catálogo Crítica 9.8 ≥ 1.7.5.0 < 1.7.6.8 24/09/2020 Sí

CVE-2020-15161 Posible inyección XSS a través del formulario de contacto Media 6.1 ≥ 1.6.0.4 < 1.7.6.8 24/09/2020 Sí

CVE-2020-15162 XSS almacenado en los ficheros subidos Media 5.4 ≥ 1.5.0.0 < 1.7.6.8 24/09/2020 Sí

CVE-2020-11074 XSS almacenado en AdminQuickAccesses Media 5.4 < 1.7.6.6 02/07/2020 Sí

CVE-2020-15079 Control de acceso incorrecto Media 6.4 < 1.7.6.6 02/07/2020 Sí

CVE-2020-15080 Revelación de información en el archivo de la release Media 5.3 < 1.7.6.6 02/07/2020 Sí

CVE-2020-15081 Exposición de información en el directorio upload Media 5.3 < 1.7.6.6 02/07/2020 Sí

CVE-2020-15082 Control externo de los ajustes de configuración desde el panel de control Alta 8.8 ≥ 1.6.0.1 < 1.7.6.6 02/07/2020 Sí

CVE-2020-15083 XSS reflejado al subir una imagen en la página de producto Media 6.1 < 1.7.6.6 02/07/2020 Sí

CVE-2020-4074 Autenticación incorrecta Crítica 10.0 ≥ 1.5.0.0 < 1.7.6.6 02/07/2020 Sí

CVE-2020-5264 XSS reflejado en la página de seguridad comprometida Media 6.1 < 1.7.6.5 20/04/2020 Sí

CVE-2020-5265 XSS reflejado en la página AdminAttributesGroups Media 6.1 < 1.7.6.5 20/04/2020 Sí

CVE-2020-5269 XSS reflejado en la página AdminFeatures Media 6.1 < 1.7.6.5 20/04/2020 Sí

CVE-2020-5270 Redirección abierta al usar el parámetro back Media 6.1 < 1.7.6.5 20/04/2020 Sí

CVE-2020-5271 XSS reflejado en el calendario del panel de control Media 6.1 < 1.7.6.5 20/04/2020 Sí

CVE-2020-5272 XSS reflejado en la página de búsqueda Media 6.1 < 1.7.6.5 20/04/2020 Sí

CVE-2020-5276 XSS reflejado en la página AdminCarts Media 6.1 < 1.7.6.5 20/04/2020 Sí

CVE-2020-5278 XSS reflejado en la página de excepción Media 6.1 < 1.7.6.5 20/04/2020 Sí

CVE-2020-5279 Control de acceso incorrecto Media 6.5 < 1.7.6.5 20/04/2020 Sí

CVE-2020-5285 XSS reflejado con el parámetro back Media 6.1 < 1.7.6.5 20/04/2020 Sí

CVE-2020-5286 XSS reflejado en la página de importación Media 6.1 < 1.7.6.5 20/04/2020 Sí

CVE-2020-5287 Control de acceso incorrecto en la búsqueda de clientes Media 6.5 < 1.7.6.5 20/04/2020 Sí

CVE-2020-5288 Control de acceso incorrecto en la página de atributos de producto Media 6.5 < 1.7.6.5 20/04/2020 Sí

CVE-2020-5293 Control de acceso incorrecto en la página de producto con combinaciones, adjuntos y precios específicos Media 6.5 < 1.7.6.5 20/04/2020 Sí

CVE-2020-5250 Posible robo de información Alta 7.6 ≥ 1.7.0.0 < 1.7.6.4 05/03/2020 Sí

CVE-2020-6632 XSS al añadir o quitar un enlace de acceso rápido en PrestaShop 1.7.6.2 Media 6.1 = 1.7.6.2 09/01/2020 Sí

CVE-2019-13461 Referencia directa insegura a objetos (IDOR) en las direcciones del checkout antes de la 1.7.6.0 RC2 Alta 7.5 ≤ 1.7.5.2 09/07/2019 No

CVE-2019-11876 XSS reflejado por el parámetro shop_country del instalador en PrestaShop 1.7.5.2 Media 6.1 = 1.7.5.2 24/05/2019 No

CVE-2018-20717 Ejecución remota de código por inyección de objetos PHP en la sección de pedidos antes de la 1.7.2.5 Alta 8.8 < 1.7.2.5 15/01/2019 No

CVE-2018-19124 Escritura en ficheros de imagen arbitrarios en Windows en PrestaShop 1.6.x antes de la 1.6.1.23 y 1.7.x antes de la 1.7.4.4 Alta 7.5 ≥ 1.6.0.1 < 1.6.1.23
≥ 1.7.0.0 < 1.7.4.4 09/11/2018 Sí

CVE-2018-19125 Borrado remoto de un directorio de imágenes en PrestaShop 1.6.x antes de la 1.6.1.23 y 1.7.x antes de la 1.7.4.4 Alta 7.5 ≥ 1.6.0.1 < 1.6.1.23
≥ 1.7.0.0 < 1.7.4.4 09/11/2018 Sí

CVE-2018-19126 Ejecución remota de código mediante subida de ficheros en PrestaShop 1.6.x antes de la 1.6.1.23 y 1.7.x antes de la 1.7.4.4 Crítica 9.8 ≥ 1.6.0.1 < 1.6.1.23
≥ 1.7.0.0 < 1.7.4.4 09/11/2018 Sí

CVE-2018-13784 Cifrado de cookies incorrecto en PrestaShop antes de la 1.6.1.20 y 1.7.x antes de la 1.7.3.4 Crítica 9.1 < 1.6.1.20
≥ 1.7.0.0 < 1.7.3.4 09/07/2018 No

CVE-2018-7491 Clickjacking por falta de X-Frame-Options en el .htaccess generado hasta la 1.7.2.5 Alta 7.5 ≤ 1.7.2.5 26/02/2018 No

CVE-2018-5681 XSS por edición del código fuente en «Páginas > Editar página» en PrestaShop 1.7.2.4 Media 5.4 = 1.7.2.4 13/01/2018 No

CVE-2018-5682 Enumeración de usuarios por la función de restablecer contraseña en PrestaShop 1.7.2.4 Media 5.3 = 1.7.2.4 13/01/2018 No

PrestaShop 1.6.x · 5

IDAvisoSeveridadVersiones afectadasPublicadoParche

CVE-2018-19125 Borrado remoto de un directorio de imágenes en PrestaShop 1.6.x antes de la 1.6.1.23 y 1.7.x antes de la 1.7.4.4 Alta 7.5 ≥ 1.6.0.1 < 1.6.1.23
≥ 1.7.0.0 < 1.7.4.4 09/11/2018 Sí

CVE-2018-13784 Cifrado de cookies incorrecto en PrestaShop antes de la 1.6.1.20 y 1.7.x antes de la 1.7.3.4 Crítica 9.1 < 1.6.1.20
≥ 1.7.0.0 < 1.7.3.4 09/07/2018 No

CVE-2015-1175 XSS por layered_price_slider en blocklayered-ajax.php del módulo blocklayered en PrestaShop 1.6.0.9 y anteriores Media 4.3 ≤ 1.6.0.9 22/01/2015 No

PrestaShop 1.5.x · 3

IDAvisoSeveridadVersiones afectadasPublicadoParche

CVE-2012-20001 XSS por la cadena «<object data='data:text/html» en el campo de mensaje antes de la 1.5.2 Media 6.1 < 1.5.2 21/12/2021 No

CVE-2013-6295 Escalada de privilegios desde una cuenta de vendedor en PrestaShop 1.5.5 Crítica 9.8 = 1.5.5.0 18/02/2020 No

CVE-2013-6358 Ejecución de código por usuarios autenticados en PrestaShop 1.5.5 mediante un perfil manipulado Crítica 9.0 = 1.5.5.0 23/01/2020 No

PrestaShop 1.4.x · 7

IDAvisoSeveridadVersiones afectadasPublicadoParche

CVE-2013-4791 XSS persistente en TinyMCE desde perfiles de bajo nivel antes de la 1.4.11 Media 5.4 < 1.4.11 14/02/2020 No

CVE-2013-4792 CSRF en el cierre de sesión antes de la 1.4.11 Media 5.5 < 1.4.11 14/02/2020 No

CVE-2012-2517 XSS por el índice del parámetro product[] en ajax.php antes de la 1.4.9 Media 6.1 < 1.4.9.0 11/02/2020 No

CVE-2012-6641 XSS en redirect.php del módulo Socolissimo en PrestaShop antes de la 1.4.7.2 Media 4.3 ≤ 1.4.7.1
= 1.4.0.1
= 1.4.0.2
+25 07/04/2014 No

CVE-2011-4545 Inyección CRLF en admin/displayImage.php de PrestaShop 1.4.4.1 Media 5.0 = 1.4.4.1 02/12/2011 No

CVE-2011-4544 Múltiples XSS en el módulo mondialrelay y el gestor de ficheros de admin en PrestaShop antes de la 1.5 Media 4.3 ≤ 1.4.0.6
= 0.8.1
= 0.8.2
+17 01/12/2011 No

CVE-2011-3796 Revelación de la ruta de instalación por petición directa a ficheros .php en PrestaShop 1.4.0.6 Media 5.0 = 1.4.0.6 24/09/2011 No

Sin rama determinada · 2

IDAvisoSeveridadVersiones afectadasPublicadoParche

CVE-2008-6503 Múltiples XSS por PATH_INFO en admin/login.php y order.php en PrestaShop 1.1.0.3 Media 4.3 = 1.1.0.3 20/03/2009 No

CVE-2008-5791 Múltiples vulnerabilidades sin especificar en PrestaShop antes de la 1.1 Beta 2 Crítica 10.0 ≤ 1.0
= 0.8.1
= 0.8.2
+14 31/12/2008 Sí

Deja de comprobar la lista a mano

PrestaShield conoce los módulos y la versión de tu tienda, los cruza con esta base y te avisa en cuanto se publica un aviso que te afecta. Sin acceso FTP ni datos de tus clientes.

Monitorizar mi tienda automáticamente