CVE-2026-85520
Escritura arbitraria de archivos sin autenticación que conduce a RCE en el módulo gmfeed de PrestaShop
- Publicado
- 29 sept 2026
- Actualizado
- 29 sept 2026
- Asignación de CNA
- CERT-PL
- Evidencia observada
- 4 nov 2026
CVSS primario
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:L/SI:L/SA:L/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XBajo · próximos 30 días
- Percentil
- 62,6 %
- Fecha del modelo
- 4 nov 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
El módulo Google Merchant Center Feed (gmfeed) para PrestaShop es vulnerable a escritura arbitraria de archivos sin autenticación en el endpoint feed.php. Un atacante no autenticado puede enviar una solicitud manipulada que controla el nombre del archivo de salida, la ruta, la extensión y el contenido mediante parámetros de la solicitud. Debido a la falta de autenticación y de validación de entrada, la solicitud se procesa correctamente, lo que permite a un atacante escribir y ejecutar código PHP arbitrario, dando lugar a ejecución remota de código (RCE). Este problema se corrigió en la versión 2.3.9.
Fuentes
Prueba de concepto en Python para CVE-2026-85520: detecta y explota la escritura arbitraria de archivos sin autenticación en PrestaShop gmfeed feed.php para lograr RCE, con escaneo masivo.
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.