ENAccederEmpezar gratis
Baja 3.7 CVSS 3.1 Core Publicado el 08/09/2025

Enumeración de correos electrónicos

CVECVE-2025-51586 GHSAGHSA-8xx5-h6m3-jr33
Ver en la fuente Ver JSON Última modificación en la fuente: 17/06/2026

Descripción

Enumeración de correos electrónicos

Impacto

Un atacante sin autenticar con acceso a la URL del back office puede manipular los parámetros id_employee y reset_token para enumerar las direcciones de correo válidas de los empleados del back office.

Afectados: Administradores y empleados de la tienda: quedan expuestas sus direcciones de correo. Comerciantes: riesgo de phishing, ingeniería social y ataques de fuerza bruta contra las cuentas de administrador.

Parches

PrestaShop 8.2.3

Soluciones alternativas

Hay que actualizar o, como mínimo, aplicar los cambios del parche de PrestaShop 8.2.3. Más información: https://build.prestashop-project.org/news/2025/prestashop-8-2-3-security-release/

Texto original de NVD (NIST), dominio público. Traducción de PrestaShield.

Métricas CVSS 3.1

Fuente: 134c704f-9b21-4f2e-91b3-4a467353bcc0 · secondary
Baja 3.7
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N
Vector de ataqueRed
ComplejidadAlta
Privilegios requeridosNinguna
Interacción del usuarioNinguna
AlcanceSin cambio
ConfidencialidadBaja
IntegridadNinguna
DisponibilidadNinguna

Referencias

¿Has encontrado una vulnerabilidad?

Escribe al equipo de seguridad del core de PrestaShop:

security-core@prestashop.com

Avisos relacionados

Mismo componente: core de PrestaShop
Todos los avisos del core (94)
IDAvisoComponenteSeveridadVersiones afectadasPublicadoParche
CVE-2026-84186 Suplantación de la IP del cliente mediante X-Forwarded-For en Tools::getRemoteAddr() Core Media 6.9 ≥ 8.0.0 < 8.2.8
≥ 9.0.0 < 9.1.5 07/09/2026 No
GHSA-jf3w-9rmr-5rcr Control de acceso incorrecto en el endpoint de notificaciones del back office expone datos de clientes Core Media 4.3 ≥ 9.0.0 < 9.1.5
≥ 8.0.0 < 8.2.8 18/08/2026 Sí
GHSA-whxq-pxj5-qq7v Inyección SQL a través de los filtros de los listados del back office Core Media 6.5 ≥ 9.0.0 < 9.1.5
≥ 8.0.0 < 8.2.8 18/08/2026 Sí
GHSA-2cr4-vw9p-pjvf La dirección IP del cliente se puede falsificar mediante la cabecera X-Forwarded-For Core Alta 7.3 ≥ 9.0.0 < 9.1.5
≥ 8.0.0 < 8.2.8 18/08/2026 Sí

¿Tu tienda está en 8.x < 8.2.1?

PrestaShield lo comprueba desde fuera, sin acceso FTP, y te avisa de cada aviso nuevo que te afecte.
Detectar si mi tienda está afectada