CVE-2026-124916 Inyección de código PHP en la configuración de depuración de PrestaShop
PrestaShop contiene una vulnerabilidad de inyección de código PHP autenticada en la configuración del modo de depuración del back-office. Un usuario del back-office con permiso para modificar la configuración de depuración puede enviar un debug_cookie_name o debug_cookie_value manipulado que se escribe sin el escape suficiente en un archivo de configuración PHP. Cuando PrestaShop carga el archivo generado, el código PHP inyectado se ejecuta con los privilegios del proceso del servidor web.
CVSS 3.1
- Probabilidad de explotaciónSin dato
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
PrestaShop
desde 1.5.0.0 hasta antes de 9.2.1
Qué hacer
- Verificá si usás PrestaShop y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 5.4 MEDIA
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosBajos
- Interacción del usuarioRequerida
- AlcanceCambiado
- ConfidencialidadBaja
- IntegridadBaja
- DisponibilidadNinguna
Descripción original
PrestaShop contains an authenticated PHP code injection vulnerability in the back-office Performance debug-mode configuration. A back-office user with permission to modify debug settings can supply a crafted `debug_cookie_name` or `debug_cookie_value` that is written without sufficient escaping into a PHP configuration file. When PrestaShop subsequently loads the generated file, the injected PHP code is executed with the privileges of the web-server process.
Referencias (2)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.