Failles de sécurité du module m4pdf
PrestaAddons - M4 PDF Extensions. 3 failles publiées, la plus récente le 20/06/2024. Une faille publiée n’est pas une boutique piratée : dans la plupart des cas, c’est une mise à jour à faire. Si vous utilisez ce module, voici comment savoir si votre version est concernée, et quoi faire.
En résumé
Gravité la plus haute Critique
Version corrigée la plus récente 3.3.2, mais au moins une faille n’a pas de correctif publié.
Les failles publiées
| Référence | Faille | Gravité | Versions concernées | Corrigée en | Publiée le |
|---|---|---|---|---|---|
| CVE-2023-50029 | Exécution de code à distance | Critique | jusqu’à la 3.3.1 incluse | 3.3.2 | 20/06/2024 |
| CVE-2022-45447 | Accès à des fichiers hors du dossier prévu | Moyenne | jusqu’à la 3.2.3 incluse | aucun correctif | 20/09/2023 |
| CVE-2022-45448 | Faille de sécurité | Faible | jusqu’à la 3.2.3 incluse | aucun correctif | 20/09/2023 |
Sources : avis de Friends of Presta (licence MIT), base OSV (GitHub Advisory Database, CC BY 4.0) et NVD du NIST (domaine public), relus chaque jour. Descriptions rédigées par W4U.
Ce que permettent ces failles
- Exécution de code à distance
- Une personne extérieure peut faire exécuter son propre code sur le serveur. C’est le cas le plus sérieux : la boutique peut être prise en main.
- Accès à des fichiers hors du dossier prévu
- Des fichiers du serveur peuvent être lus ou modifiés en dehors de l’espace prévu, parfois la configuration et ses mots de passe.
- Faille de sécurité
- Faille de sécurité décrite par la source de l’avis.
Que faire ?
- Vérifiez si le module m4pdf est installé : Modules > Gestionnaire de modules, puis sa version.
- Si votre version est concernée, mettez le module à jour vers la 3.3.2 ou plus récente, depuis PrestaShop Addons ou le site de son éditeur.
- Pour une faille sans correctif : désactivez le module s’il n’est pas indispensable, ou remplacez-le.
- Un module désactivé reste présent sur le serveur : s’il ne sert plus, désinstallez-le et supprimez son dossier.
- Si la faille est critique et que la mise à jour a tardé, faites vérifier que la boutique n’a pas été modifiée entre-temps.
Vous ne savez pas quels modules sont installés, ni en quelle version ? Sans rien installer, le scan gratuit relève ce qui se voit de l’extérieur. Depuis le back-office, le module W4U Audit compare chaque module installé à ces failles, gratuitement. Et si vous préférez que je m’en occupe, mise à jour et vérification comprises : sécurité et maintenance PrestaShop, ou décrivez-moi votre boutique.
Votre boutique est-elle concernée ?
Le savoir sans chercher
W4U Audit compare chaque module installé sur votre boutique à ces failles, chaque jour avec le Monitoring. Un audit complet par mois : gratuit, sans carte bancaire.