تیم توسعه پرستاشاپ در تاریخ ۹ نوامبر ۲۰۲۶ دو نسخه امنیتی جدید منتشر کرد. نسخه PrestaShop 8.2.9 شامل ۱۵ اصلاح امنیتی و نسخه PrestaShop 9.2.1 شامل ۱۸ اصلاح امنیتی است.
آسیب‌پذیری‌های امنیتی برطرف‌شده
بخش عمده اصلاحات در هر دو نسخه مشترک است و موارد زیر را شامل می‌شود:
۱. اجرای کد مخرب از طریق فایل‌های SVG
شدت: High - 8.7/10
امکان بارگذاری فایل‌های SVG حاوی JavaScript مخرب از طریق مدیریت فایل‌ها و لوگوی فروشگاه وجود داشت. در نسخه جدید، فایل‌های SVG مخرب مسدود می‌شوند.
شناسه: GHSA-99cp-c6mm-p7h5۲. دسترسی غیرمجاز به فایل‌های سرور از طریق پیوست‌ها
شدت: High - 8.5/10
محدودیت مسیر فایل‌های پیوست به‌درستی اعمال نمی‌شد و امکان خواندن یا حذف فایل‌های خارج از پوشه دانلود وجود داشت.
شناسه: GHSA-wrmc-gmx5-9hhc۳. دسترسی به اطلاعات مشتریان در فروشگاه‌های دیگر
شدت: High - 8.1/10
در حالت Multistore، کنترل تعلق رکوردهای مشتریان به فروشگاه مجاز در Webservice کافی نبود و امکان دسترسی غیرمجاز به اطلاعات مشتریان فروشگاه‌های دیگر وجود داشت.
شناسه‌ها: GHSA-hjwq-7qvv-qxj4 | CVE-2026-71519۴. امکان اجرای مجدد نصب‌کننده پرستاشاپ
شدت: High - 8.1/10
نصب‌کننده، نصب قبلی فروشگاه را بررسی نمی‌کرد و در صورت در دسترس بودن می‌توانست مجدداً اجرا شده و تنظیمات فروشگاه را تغییر دهد.
شناسه: GHSA-8rxw-79mh-gmm5۵. اجرای کد از طریق کوکی نشست نصب‌کننده
شدت: High - 8.1/10
اطلاعات کوکی نشست نصب‌کننده بدون اعتبارسنجی امنیتی کافی بازیابی می‌شد و امکان تزریق شیء PHP و اجرای کد روی سرور وجود داشت.
شناسه: GHSA-h2q4-7fp7-m5jp۶. دور زدن محدودیت دسترسی Webservice در Multistore
شدت: High - 8.1/10
با استفاده از پارامترهای id_shop=all یا id_shop_group امکان دسترسی به اطلاعات فروشگاه‌های خارج از محدوده مجاز کلید API وجود داشت.
شناسه‌ها: GHSA-3f36-4qv4-vfgh | CVE-2026-71531۷. دور زدن محدودیت استفاده از قوانین سبد خرید
شدت: High - 7.5/10
ارسال درخواست‌های هم‌زمان ثبت سفارش می‌توانست باعث استفاده بیش از حد مجاز از کدهای تخفیف شود.
شناسه: GHSA-r246-6gw4-pj3p۸. ایجاد سفارش‌های تکراری از یک سبد خرید
شدت: High - 7.5/10
در سفارش‌های رایگان، درخواست‌های هم‌زمان می‌توانستند چند سفارش از یک سبد خرید ایجاد کنند.
شناسه: GHSA-2676-hc74-gg7v۹. نوشتن فایل خارج از مسیر مجاز هنگام وارد کردن قالب و ماژول
شدت: High - 7.2/10
فایل‌های فشرده واردشده به فروشگاه می‌توانستند با دست‌کاری مسیر استخراج، فایل‌هایی خارج از پوشه مقصد ایجاد کنند.
شناسه: GHSA-7q68-ch46-pxmc۱۰. بارگذاری فایل غیرمجاز از طریق بخش ترجمه‌های مدیریت
شدت: High - 7.2/10
اعتبارسنجی نام ماژول در صفحه ترجمه‌ها کافی نبود و امکان بارگذاری فایل غیرمجاز وجود داشت. در نسخه جدید فقط ترجمه ماژول‌های نصب‌شده بارگذاری می‌شود.
شناسه: GHSA-fxq4-2mc8-99pr۱۱. اجرای کد مخرب از طریق Import from the web
شدت: High - 7.2/10
فایل قالب دریافت‌شده از آدرس اینترنتی در مسیر مدیریت ذخیره می‌شد. در نسخه جدید فایل‌ها در پوشه Cache ذخیره می‌شوند.
شناسه: GHSA-95w6-v2wq-cv8w۱۲. امکان نوشتن فایل خارج از مسیر مجاز در ترجمه ایمیل‌ها
نام فایل قالب ایمیل در تمام شرایط اعتبارسنجی نمی‌شد و امکان ایجاد فایل خارج از پوشه مجاز وجود داشت. این مشکل در نسخه جدید برطرف شده است.
شناسه: GHSA-5p6p-mx64-96jf۱۳. دسترسی غیرمجاز به فایل‌های شخصی‌سازی محصول
شدت: Medium - 5.9/10
برای دریافت فایل‌های بارگذاری‌شده توسط مشتری، علاوه بر شماره مرجع سفارش، کلید امنیتی سفارش نیز الزامی شده است.
شناسه: GHSA-fg9q-mm4c-h5xc۱۴. امکان ویرایش سفارش با مجوز صرفاً ایجاد سفارش
شدت: Medium - 4.9/10
برای افزودن محصول به سفارش‌های موجود، داشتن مجوز ویرایش سفارش الزامی شده است.
شناسه: GHSA-mgcf-mrg4-mcxv۱۵. امکان حدس زدن توکن بازیابی رمز عبور
شدت: Medium - 4.8/10
توکن‌های بازیابی رمز عبور اکنون با استفاده از مولد اعداد تصادفی امن رمزنگاری‌شده (CSPRNG) تولید می‌شوند.
شناسه: GHSA-g6p7-cx52-hcrjآسیب‌پذیری‌های اختصاصی PrestaShop 9.2.1
نسخه 9.2.1 علاوه بر اصلاحات مشترک، سه آسیب‌پذیری اختصاصی معماری پرستاشاپ ۹ را نیز برطرف کرده است:
۱۶. افزایش غیرمجاز سطح دسترسی Admin API
شدت: High - 8.8/10
کلاینت Admin API دارای مجوز api_client_write می‌توانست Scopeهای دلخواه را به تنظیمات خود اضافه کرده و به دسترسی کامل Admin API برسد. این مسئله می‌توانست زمینه اجرای کد روی سرور را فراهم کند.
شناسه: GHSA-p292-3rh4-vm4p۱۷. بی‌اثر بودن غیرفعال‌سازی کلاینت Admin API و لغو توکن دسترسی
شدت: High - 7.1/10
غیرفعال کردن کلاینت Admin API یا لغو توکن‌های دسترسی، مانع استفاده مجدد از توکن‌هایی که قبلاً صادر شده بودند نمی‌شد. این مشکل در نسخه جدید اصلاح شده است.
شناسه: GHSA-6c2j-pgwm-95m9۱۸. تزریق کد PHP از طریق کوکی‌های Debug Mode
شدت: High - 7.2/10
مقادیر کوکی‌های تنظیمات Debug Mode بدون پاک‌سازی مناسب در یک فایل PHP نوشته می‌شدند و امکان اجرای کد دلخواه توسط کارمند دارای مجوز Performance وجود داشت.
شناسه: GHSA-95f5-jc9c-gg3qبه‌روزرسانی ماژول‌های پیش‌فرض
در هر دو نسخه، دو ماژول نیز به‌روزرسانی شده‌اند:
ps_emailsubscription
نسخه 3.0.1
رفع آسیب‌پذیری تزریق فرمول در فایل خروجی CSV مشترکین خبرنامه.
شناسه: GHSA-pg6j-qf29-gc43psgdpr
نسخه 1.4.4
رفع مشکل کنترل دسترسی در ثبت رضایت مشتریان در بخش GDPR.
شناسه‌ها: GHSA-wwqh-cf9m-347f | CVE-2026-92809سایر تغییرات PrestaShop 9.2.1
- اصلاح ترتیب نمایش پیام‌های سفارش که در یک ثانیه ثبت شده‌اند.
- رفع مشکل باز شدن ناخواسته صفحه هنگام جابه‌جایی ردیف‌ها در جدول‌های مدیریت.
- به‌روزرسانی کامپوننت‌های Symfony به نسخه 6.4.50 و سایر وابستگی‌ها.
این تغییرات شامل Breaking Change نیستند.
نحوه به‌روزرسانی پرستاشاپ
تیم توسعه استفاده از ماژول Update Assistant را برای انجام به‌روزرسانی توصیه می‌کند.
| نسخه فعلی | نسخه پیشنهادی |
|---|---|
| PrestaShop 8.2.x | 8.2.9 |
| PrestaShop 9.2.0 | 9.2.1 |
وضعیت پشتیبانی PrestaShop 8.2
شاخه 8.2.x وارد دوره پشتیبانی تمدیدشده (Extended Support) شده است و از این پس صرفاً اصلاحات امنیتی و حیاتی را دریافت می‌کند. بنابراین، بهتر است مدیران فروشگاه‌هایی که از این نسخه استفاده می‌کنند، برای مهاجرت به پرستاشاپ ۹ برنامه‌ریزی کنند.
وضعیت پشتیبانی PrestaShop 1.7 و Prestahop 1.6
هرچند این به روز رسانی‌ها رسما برای ۸.۲ و ۹.۲ منتشر شده‌اند اما این به این معنی نیست که نسخه‌های قدیمی‌تر این اشکالات را ندارند. بدون شک برخی از این اشکالات امنیتی در نسخه‌های قدیمی‌تر هم موجود است. توجه کنید که این نسخه‌ها به ترتیب از سال ۲۰۲۵ و سال ۲۰۱۹ هیچگونه به روز رسانی امنیتی دریافت نمی‌کنند و مدیران فروشگاه‌هایی که از این نسخه استفاده می‌کنند میبایست جهت به‌روز رسانی به نسخه جدید هرچه سریعتر اقدام نمایند.
منابع رسمی
جمع‌بندی: با توجه به اهمیت آسیب‌پذیری‌های برطرف‌شده، به‌روزرسانی به نسخه‌های 8.2.9 و 9.2.1 برای حفظ امنیت فروشگاه‌های پرستاشاپ توصیه می‌شود. این به‌روزرسانی را به تعویق نیندازید.
