CVE-2025-61922 Exploit: Account Takeover del Checkout PrestaShop

Uno script proof-of-concept semplice ed educativo che dimostra la vulnerabilità di account takeover zero-click nel modulo PrestaShop Checkout (CVE-2025-61922).

⚠️ Avviso legale ed etico: usalo in modo responsabile Questo strumento è destinato esclusivamente a scopi educativi e test di sicurezza autorizzati. Usalo solo su sistemi di tua proprietà o per i quali hai ricevuto esplicita autorizzazione scritta. L'accesso non autorizzato a sistemi informatici è illegale.

Panoramica

Questa vulnerabilità, identificata come CVE-2025-61922 con un punteggio CVSS di 9.1 (Critico), interessa le versioni del modulo PrestaShop Checkout inferiori alla 5.0.5. Consente a un attaccante non autenticato di accedere come qualsiasi account cliente semplicemente conoscendo l'indirizzo email della vittima: un vero attacco "zero-click".

Come Funziona

Lo script invia una richiesta POST appositamente formulata all'endpoint vulnerabile:

• Endpoint: /module/ps_checkout/ExpressCheckout
• Metodo: POST
• Payload: JSON contenente l'indirizzo email della vittima

In caso di successo, il server risponde con i cookie di sessione dell'account della vittima, che possono essere utilizzati per dirottare la sua sessione.

File in Questo Repository