CVE-2025-61922 Exploit: PrestaShop Checkout Account Takeover

Ein einfaches, lehrreiches Proof-of-Concept-Skript, das die Zero-Click-Kontoübernahme-Schwachstelle im PrestaShop Checkout-Modul (CVE-2025-61922) demonstriert.

⚠️ Rechtlicher & ethischer Hinweis: Verantwortungsvoll nutzen Dieses Tool dient ausschließlich zu Bildungszwecken und für autorisierte Sicherheitstests. Verwenden Sie es nur gegen Systeme, die Ihnen gehören oder für die Sie eine ausdrückliche schriftliche Genehmigung zum Testen haben. Unautorisierter Zugriff auf Computersysteme ist illegal.

Überblick

Diese Schwachstelle, verfolgt als CVE-2025-61922 mit einem CVSS-Score von 9.1 (Kritisch), betrifft PrestaShop Checkout-Modulversionen unter 5.0.5. Sie ermöglicht es einem nicht authentifizierten Angreifer, sich als beliebiges Kundenkonto anzumelden, indem er lediglich die E-Mail-Adresse des Opfers kennt – ein wahrer „Zero-Click"-Angriff.

So funktioniert es

Das Skript sendet eine speziell konstruierte POST-Anfrage an den verwundbaren Endpunkt:

• Endpunkt: /module/ps_checkout/ExpressCheckout
• Methode: POST
• Payload: JSON, das die E-Mail-Adresse des Opfers enthält

Bei Erfolg antwortet der Server mit Session-Cookies für das Konto des Opfers, die verwendet werden können, um dessen Sitzung zu übernehmen.

Dateien in diesem Repository