CVE-2026-85520
Écriture de fichier arbitraire non authentifiée menant à une RCE dans le module PrestaShop gmfeed
- Publié
- 29 sept. 2026
- Mise à jour
- 29 sept. 2026
- Attribution de CNA
- CERT-PL
- Preuve observée
- 4 nov. 2026
CVSS primaire
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:L/SI:L/SA:L/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XFaible · 30 prochains jours
- Percentile
- 62,6 %
- Date du modèle
- 4 nov. 2026
EPSS est une estimation statistique, et non une certitude ou une mesure d'impact. Combinez-le avec CVSS, le statut KEV, l'exposition et votre environnement.
Résumé
Le module Google Merchant Center Feed (gmfeed) pour PrestaShop est vulnérable à une écriture arbitraire de fichiers non authentifiée dans le point de terminaison feed.php. Un attaquant non authentifié peut envoyer une requête forgée qui contrôle le nom du fichier de sortie, le chemin, l'extension et le contenu via les paramètres de la requête. En raison de l'absence d'authentification et de validation des entrées, la requête est traitée avec succès, permettant à un attaquant d'écrire et d'exécuter du code PHP arbitraire, entraînant une exécution de code à distance (RCE). Ce problème a été corrigé dans la version 2.3.9.
Sources
Preuve de concept (PoC) en Python pour CVE-2026-85520 : détecte et exploite une écriture de fichier arbitraire non authentifiée dans PrestaShop gmfeed feed.php pour obtenir une RCE, avec analyse en masse.
Utilisation responsable
Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.