Failles de sécurité du cœur de PrestaShop
86 failles publiées, la plus récente le 09/11/2026. Une faille publiée n’est pas une boutique piratée : dans la plupart des cas, c’est une mise à jour à faire. Si vous utilisez PrestaShop, voici comment savoir si votre version est concernée, et quoi faire.
En résumé
Gravité la plus haute Critique
À retenir chaque branche a sa propre version corrigée : comparez la vôtre à la colonne « Branches » du tableau.
Les failles publiées
| Référence | Faille | Gravité | Versions concernées | Branches | Corrigée en | Publiée le |
|---|---|---|---|---|---|---|
| CVE-2026-124916 | Exécution de code à distance | Moyenne | de la 1.5.0.0 et avant la 9.2.1 | 1.6, 1.7, 8, 9 | 9.2.1 | 09/11/2026 |
| CVE-2026-84186 | Contrôle d’accès insuffisant | Moyenne | de la 9.0.0 et avant la 9.1.5 ; avant la 8.2.8 | 1.6, 1.7, 8, 9 | 8.2.8 / 9.1.5 | 07/09/2026 |
| CVE-2026-14846 | Faille de sécurité | Moyenne | jusqu’à la 8.2.1 incluse | 1.6, 1.7, 8 | 8.2.8 | 13/07/2026 |
| CVE-2026-44212 | Injection de script (XSS) | Critique | avant la 8.2.6 ; de la 9.0.0 et avant la 9.1.1 | 1.6, 1.7, 8, 9 | 8.2.6 / 9.1.1 | 08/05/2026 |
| CVE-2026-33673 | Injection de script (XSS) | Élevée | de la 9.0.0-alpha.1 et avant la 9.1.0 ; avant la 8.2.5 | 1.6, 1.7, 8, 9 | 9.1.0 / 8.2.5 | 25/03/2026 |
| CVE-2026-33674 | Faille de sécurité | Faible | avant la 8.2.5 ; de la 9.0.0-alpha.1 et avant la 9.1.0 | 1.6, 1.7, 8, 9 | 8.2.5 / 9.1.0 | 25/03/2026 |
| CVE-2026-25597 | Fuite de données | Moyenne | de la 9.0.0-alpha.1 et avant la 9.0.3 ; avant la 8.2.4 | 1.6, 1.7, 8, 9 | 9.0.3 / 8.2.4 | 03/02/2026 |
| CVE-2025-51586 | Fuite de données | Moyenne | avant la 8.2.3 | 1.6, 1.7, 8 | 8.2.3 | 04/09/2025 |
| CVE-2025-25691 | Exécution de code à distance | Moyenne | version 8.2.0 | 8 | aucun correctif | 30/07/2025 |
| CVE-2025-25692 | Exécution de code à distance | Moyenne | version 8.2.0 | 8 | aucun correctif | 30/07/2025 |
| CVE-2025-1230 | Injection de script (XSS) | Moyenne | version 8.1.7 | 8 | aucun correctif | 12/02/2025 |
| CVE-2024-36626 | Faille de sécurité | Moyenne | version 8.1.4 | 8 | aucun correctif | 29/11/2024 |
| CVE-2024-34716 | Injection de script (XSS) | Critique | de la 8.1.0 et avant la 8.1.6 | 8 | 8.1.6 | 14/05/2024 |
| CVE-2024-34717 | Fuite de données | Moyenne | de la 8.1.5 et avant la 8.1.6 | 8 | 8.1.6 | 14/05/2024 |
| CVE-2024-26129 | Fuite de données | Moyenne | de la 8.1.0 et avant la 8.1.4 | 8 | 8.1.4 | 21/02/2024 |
| CVE-2024-21627 | Injection de script (XSS) | Élevée | de la 8.0.0-beta.1 et avant la 8.1.3 ; avant la 1.7.8.11 | 1.6, 1.7, 8 | 8.1.3 / 1.7.8.11 | 03/01/2024 |
| CVE-2024-21628 | Injection de script (XSS) | Moyenne | avant la 8.1.3 | 1.6, 1.7, 8 | 8.1.3 | 03/01/2024 |
| CVE-2023-43663 | Contrôle d’accès insuffisant | Moyenne | avant la 8.1.2 | 1.6, 1.7, 8 | 8.1.2 | 28/09/2023 |
| CVE-2023-43664 | Contrôle d’accès insuffisant | Moyenne | avant la 8.1.2 | 1.6, 1.7, 8 | 8.1.2 | 28/09/2023 |
| CVE-2023-39524 | Injection SQL | Moyenne | avant la 8.1.1 | 1.6, 1.7, 8 | 8.1.1 | 09/08/2023 |
| CVE-2023-39525 | Accès à des fichiers hors du dossier prévu | Moyenne | avant la 8.1.1 | 1.6, 1.7, 8 | 8.1.1 | 09/08/2023 |
| CVE-2023-39526 | Injection SQL | Critique | de la 8.1.0 et avant la 8.1.1 ; de la 8.0.0 et avant la 8.0.5 ; avant la 1.7.8.10 | 1.6, 1.7, 8 | 8.1.1 / 8.0.5 / 1.7.8.10 | 09/08/2023 |
| CVE-2023-39527 | Injection de script (XSS) | Élevée | de la 8.1.0 et avant la 8.1.1 ; de la 8.0.0 et avant la 8.0.5 ; avant la 1.7.8.10 | 1.6, 1.7, 8 | 8.1.1 / 8.0.5 / 1.7.8.10 | 09/08/2023 |
| CVE-2023-39528 | Accès à des fichiers hors du dossier prévu | Moyenne | avant la 8.1.1 | 1.6, 1.7, 8 | 8.1.1 | 09/08/2023 |
| CVE-2023-39529 | Suppression de fichiers | Moyenne | avant la 8.1.1 | 1.6, 1.7, 8 | 8.1.1 | 09/08/2023 |
| CVE-2023-39530 | Suppression de fichiers | Moyenne | avant la 8.1.1 | 1.6, 1.7, 8 | 8.1.1 | 09/08/2023 |
| CVE-2023-30545 | Injection SQL | Élevée | de la 8.0.0 et avant la 8.0.4 ; avant la 1.7.8.9 | 1.6, 1.7, 8 | 8.0.4 / 1.7.8.9 | 26/04/2023 |
| CVE-2023-30838 | Injection de script (XSS) | Élevée | de la 8.0.0 et avant la 8.0.4 ; avant la 1.7.8.9 | 1.6, 1.7, 8 | 8.0.4 / 1.7.8.9 | 25/04/2023 |
| CVE-2023-30839 | Injection SQL | Critique | de la 8.0.0 et avant la 8.0.4 ; avant la 1.7.8.9 | 1.6, 1.7, 8 | 8.0.4 / 1.7.8.9 | 25/04/2023 |
| CVE-2023-25170 | Falsification de requête (CSRF) | Moyenne | avant la 8.0.1 | 1.6, 1.7, 8 | 8.0.1 | 13/03/2023 |
| CVE-2022-46158 | Envoi ou écriture de fichier non contrôlé | Moyenne | avant la 1.7.8.8 | 1.6, 1.7 | 1.7.8.8 | 08/12/2022 |
| CVE-2022-31181 | Injection SQL | Critique | de la 1.6.0.10 et avant la 1.7.8.7 | 1.6, 1.7 | 1.7.8.7 | 29/07/2022 |
| CVE-2020-21967 | Exécution de code à distance | Moyenne | version 1.7.6.7 | 1.7 | aucun correctif | 13/07/2022 |
| CVE-2019-11876 | Injection de script (XSS) | Moyenne | de la 1.7.5.2 et avant la 1.7.6.0 | 1.7 | 1.7.6.0 | 24/05/2022 |
| CVE-2018-20717 | Exécution de code à distance | Élevée | avant la 1.7.2.5 | 1.6, 1.7 | 1.7.2.5 | 14/05/2022 |
| CVE-2013-4791 | Injection de script (XSS) | Moyenne | avant la 1.4.11 | 1.4.11 | 05/05/2022 | |
| CVE-2012-20001 | Injection de script (XSS) | Moyenne | avant la 1.5.2.0 | 1.5.2.0 | 23/04/2022 | |
| CVE-2022-21686 | Exécution de code à distance | Critique | de la 1.7.0.0 et avant la 1.7.8.3 | 1.7 | 1.7.8.3 | 27/01/2022 |
| CVE-2021-43789 | Injection SQL | Élevée | de la 1.7.5.0 et avant la 1.7.8.2 | 1.7 | 1.7.8.2 | 07/12/2021 |
| CVE-2021-21398 | Faille de sécurité | Moyenne | de la 1.7.7.0 et avant la 1.7.7.3 | 1.7 | 1.7.7.3 | 30/03/2021 |
| CVE-2021-21302 | Faille de sécurité | Moyenne | après la 1.5.0.0 et avant la 1.7.7.2 | 1.6, 1.7 | 1.7.7.2 | 26/02/2021 |
| CVE-2021-21308 | Faille de sécurité | Moyenne | après la 1.5.0.0 et avant la 1.7.7.2 | 1.6, 1.7 | 1.7.7.2 | 26/02/2021 |
| CVE-2021-3110 | Injection SQL | Critique | jusqu’à la 1.7.7.0 incluse | 1.6, 1.7 | aucun correctif | 20/01/2021 |
| CVE-2020-26224 | Contrôle d’accès insuffisant | Élevée | avant la 1.7.6.9 | 1.6, 1.7 | 1.7.6.9 | 16/11/2020 |
| CVE-2020-15160 | Injection SQL | Critique | de la 1.7.5.0 et avant la 1.7.6.8 | 1.7 | 1.7.6.8 | 24/09/2020 |
| CVE-2020-15161 | Injection de script (XSS) | Moyenne | de la 1.6.0.4 et avant la 1.7.6.8 | 1.6, 1.7 | 1.7.6.8 | 24/09/2020 |
| CVE-2020-15162 | Envoi ou écriture de fichier non contrôlé | Moyenne | de la 1.5.0.0 et avant la 1.7.6.8 | 1.6, 1.7 | 1.7.6.8 | 24/09/2020 |
| CVE-2020-11074 | Injection de script (XSS) | Moyenne | après la 1.5.3.0 et avant la 1.7.6.6 | 1.6, 1.7 | 1.7.6.6 | 02/07/2020 |
| CVE-2020-15079 | Contrôle d’accès insuffisant | Moyenne | de la 1.5.0.0 et avant la 1.7.6.6 | 1.6, 1.7 | 1.7.6.6 | 02/07/2020 |
| CVE-2020-15080 | Faille de sécurité | Moyenne | après la 1.7.4.0 et avant la 1.7.6.6 | 1.7 | 1.7.6.6 | 02/07/2020 |
| CVE-2020-15081 | Envoi ou écriture de fichier non contrôlé | Moyenne | après la 1.5.0.0 et avant la 1.7.6.6 | 1.6, 1.7 | 1.7.6.6 | 02/07/2020 |
| CVE-2020-15082 | Faille de sécurité | Élevée | de la 1.6.0.1 et avant la 1.7.6.6 | 1.6, 1.7 | 1.7.6.6 | 02/07/2020 |
| CVE-2020-15083 | Injection de script (XSS) | Moyenne | après la 1.7.0.0 et avant la 1.7.6.6 | 1.7 | 1.7.6.6 | 02/07/2020 |
| CVE-2020-4074 | Contrôle d’accès insuffisant | Élevée | de la 1.5.0.0 et avant la 1.7.6.6 | 1.6, 1.7 | 1.7.6.6 | 02/07/2020 |
| CVE-2020-5264 | Injection de script (XSS) | Moyenne | après la 1.7.0.0 et avant la 1.7.6.5 | 1.7 | 1.7.6.5 | 20/04/2020 |
| CVE-2020-5265 | Injection de script (XSS) | Moyenne | après la 1.7.6.1 et avant la 1.7.6.5 | 1.7 | 1.7.6.5 | 20/04/2020 |
| CVE-2020-5269 | Injection de script (XSS) | Moyenne | après la 1.7.6.1 et avant la 1.7.6.5 | 1.7 | 1.7.6.5 | 20/04/2020 |
| CVE-2020-5270 | Redirection ouverte | Moyenne | après la 1.7.6.0 et avant la 1.7.6.5 | 1.7 | 1.7.6.5 | 20/04/2020 |
| CVE-2020-5271 | Injection de script (XSS) | Moyenne | après la 1.6.0.0 et avant la 1.7.6.5 | 1.6, 1.7 | 1.7.6.5 | 20/04/2020 |
| CVE-2020-5272 | Injection de script (XSS) | Moyenne | après la 1.5.5.0 et avant la 1.7.6.5 | 1.6, 1.7 | 1.7.6.5 | 20/04/2020 |
| CVE-2020-5276 | Injection de script (XSS) | Moyenne | après la 1.7.1.0 et avant la 1.7.6.5 | 1.7 | 1.7.6.5 | 20/04/2020 |
| CVE-2020-5278 | Injection de script (XSS) | Moyenne | après la 1.5.4.0 et avant la 1.7.6.5 | 1.6, 1.7 | 1.7.6.5 | 20/04/2020 |
| CVE-2020-5279 | Contrôle d’accès insuffisant | Moyenne | après la 1.5.0.0 et avant la 1.7.6.5 | 1.6, 1.7 | 1.7.6.5 | 20/04/2020 |
| CVE-2020-5285 | Injection de script (XSS) | Moyenne | après la 1.7.6.0 et avant la 1.7.6.5 | 1.7 | 1.7.6.5 | 20/04/2020 |
| CVE-2020-5286 | Injection de script (XSS) | Moyenne | après la 1.7.4.0 et avant la 1.7.6.5 | 1.7 | 1.7.6.5 | 20/04/2020 |
| CVE-2020-5287 | Contrôle d’accès insuffisant | Moyenne | après la 1.5.5.0 et avant la 1.7.6.5 | 1.6, 1.7 | 1.7.6.5 | 20/04/2020 |
| CVE-2020-5288 | Contrôle d’accès insuffisant | Moyenne | après la 1.7.0.0 et avant la 1.7.6.5 | 1.7 | 1.7.6.5 | 20/04/2020 |
| CVE-2020-5293 | Contrôle d’accès insuffisant | Moyenne | après la 1.7.0.0 et avant la 1.7.6.5 | 1.7 | 1.7.6.5 | 20/04/2020 |
| CVE-2020-5250 | Contrôle d’accès insuffisant | Élevée | de la 1.7.0.0 et avant la 1.7.6.4 | 1.7 | 1.7.6.4 | 05/03/2020 |
| CVE-2013-4792 | Falsification de requête (CSRF) | Moyenne | avant la 1.4.11 | 1.4.11 | 14/02/2020 | |
| CVE-2012-2517 | Injection de script (XSS) | Moyenne | avant la 1.4.9.0 | 1.4.9.0 | 11/02/2020 | |
| CVE-2017-9841 | Exécution de code à distance | Critique | avant la 1.7.6.0 | 1.6, 1.7 | aucun correctif | 20/01/2020 |
| CVE-2020-6632 | Injection de script (XSS) | Moyenne | version 1.7.6.2 | 1.7 | aucun correctif | 09/01/2020 |
| CVE-2019-13461 | Fuite de données | Élevée | jusqu’à la 1.7.5.2 incluse ; version 1.7.6.0 | 1.6, 1.7 | aucun correctif | 09/07/2019 |
| CVE-2018-19355 | Exécution de code à distance | Critique | de la 1.5.0.0 et jusqu’à la 1.7.0.0 incluse | 1.6, 1.7 | aucun correctif | 19/11/2018 |
| CVE-2018-19124 | Faille de sécurité | Élevée | de la 1.6.0.1 et avant la 1.6.1.23 ; de la 1.7.0.0 et avant la 1.7.4.4 | 1.6, 1.7 | 1.6.1.23 / 1.7.4.4 | 09/11/2018 |
| CVE-2018-19125 | Suppression de fichiers | Élevée | de la 1.6.0.1 et avant la 1.6.1.23 ; de la 1.7.0.0 et avant la 1.7.4.4 | 1.6, 1.7 | 1.6.1.23 / 1.7.4.4 | 09/11/2018 |
| CVE-2018-19126 | Exécution de code à distance | Critique | de la 1.6.0.1 et avant la 1.6.1.23 ; de la 1.7.0.0 et avant la 1.7.4.4 | 1.6, 1.7 | 1.6.1.23 / 1.7.4.4 | 09/11/2018 |
| CVE-2018-13784 | Faille de sécurité | Critique | avant la 1.6.1.20 ; de la 1.7.0.0 et avant la 1.7.3.4 | 1.6, 1.7 | 1.6.1.20 / 1.7.3.4 | 09/07/2018 |
| CVE-2018-7491 | Faille de sécurité | Élevée | jusqu’à la 1.7.2.5 incluse | 1.6, 1.7 | aucun correctif | 26/02/2018 |
| CVE-2018-5681 | Injection de script (XSS) | Moyenne | version 1.7.2.4 | 1.7 | aucun correctif | 13/01/2018 |
| CVE-2018-5682 | Fuite de données | Moyenne | version 1.7.2.4 | 1.7 | aucun correctif | 13/01/2018 |
| CVE-2011-4545 | Faille de sécurité | Moyenne | version 1.4.4.1 | aucun correctif | 02/12/2011 | |
| CVE-2011-4544 | Injection de script (XSS) | Moyenne | jusqu’à la 1.4.0.6 incluse | aucun correctif | 01/12/2011 | |
| CVE-2011-3796 | Fuite de données | Moyenne | version 1.4.0.6 | aucun correctif | 24/09/2011 | |
| CVE-2008-6503 | Injection de script (XSS) | Moyenne | version 1.1.0.3 | aucun correctif | 20/03/2009 |
Sources : avis de Friends of Presta (licence MIT), base OSV (GitHub Advisory Database, CC BY 4.0) et NVD du NIST (domaine public), relus chaque jour. Descriptions rédigées par W4U.
Ce que permettent ces failles
- Exécution de code à distance
- Une personne extérieure peut faire exécuter son propre code sur le serveur. C’est le cas le plus sérieux : la boutique peut être prise en main.
- Contrôle d’accès insuffisant
- Une action réservée (administration, compte client) est possible sans les droits nécessaires.
- Faille de sécurité
- Faille de sécurité décrite par la source de l’avis.
- Injection de script (XSS)
- Un script peut être glissé dans une page et s’exécuter dans le navigateur d’un client ou d’un employé, par exemple pour détourner sa session.
- Fuite de données
- Des informations qui devraient rester privées (clients, commandes, factures) sont accessibles.
- Injection SQL
- Une requête mal protégée permet de lire, et parfois de modifier, la base de données : clients, commandes, comptes.
- Accès à des fichiers hors du dossier prévu
- Des fichiers du serveur peuvent être lus ou modifiés en dehors de l’espace prévu, parfois la configuration et ses mots de passe.
- Suppression de fichiers
- Des fichiers ou des dossiers peuvent être supprimés à distance, ce qui peut rendre la boutique inutilisable.
- Falsification de requête (CSRF)
- Une action peut être déclenchée à l’insu d’un employé connecté, au moyen d’un lien ou d’une page piégée.
- Envoi ou écriture de fichier non contrôlé
- Un fichier peut être déposé sur le serveur sans contrôle suffisant ; s’il s’agit d’un script, il peut ensuite être exécuté.
- Redirection ouverte
- Un lien du site peut renvoyer vers un site choisi par un tiers, ce qui facilite l’hameçonnage.
Que faire ?
- Relevez la version de votre boutique (pied de page du back-office, ou Paramètres avancés > Informations).
- Cherchez votre branche dans le tableau : si votre version est antérieure à la version corrigée de cette branche, la mise à jour est à prévoir.
- Faites la mise à jour sur une copie de la boutique d’abord, avec une sauvegarde récente : les modules et le thème doivent suivre.
- Si la faille est critique et que la mise à jour a tardé, faites vérifier que la boutique n’a pas été modifiée entre-temps.
Vous ne savez pas quels modules sont installés, ni en quelle version ? Sans rien installer, le scan gratuit relève ce qui se voit de l’extérieur. Depuis le back-office, le module W4U Audit compare chaque module installé à ces failles, gratuitement. Et si vous préférez que je m’en occupe, mise à jour et vérification comprises : sécurité et maintenance PrestaShop, ou décrivez-moi votre boutique.
Votre boutique est-elle concernée ?
Le savoir sans chercher
W4U Audit compare chaque module installé sur votre boutique à ces failles, chaque jour avec le Monitoring. Un audit complet par mois : gratuit, sans carte bancaire.