¿Qué es esta vulnerabilidad?
Una falla de control de acceso en PrestaShop permite a atacantes con una clave de API de Webservice autenticada leer y modificar registros de clientes de cualquier tienda en instalaciones multi-shop, incluso sin tener permisos para esa tienda específica.
¿Cómo funciona?
La vulnerabilidad existe en las funciones shopHasRight() y saveEntityFromXml(), que no verifican correctamente la propiedad de los registros por tienda. Esto permite:
- Leer datos sensibles como hashes de contraseñas y claves seguras de clientes
- Modificar correos electrónicos y contraseñas mediante solicitudes de creación, actualización y eliminación
- Toma de cuentas completas de usuarios
Productos y versiones afectadas
PrestaShop en versiones anteriores a 8.2.9 y 9.2.1.
Impacto y explotación
Con un CVSS de 8.1 (Alta) y clasificado con severidad P por INCIBE-CERT. Actualmente Shodan reporta 0 hosts detectados con esta vulnerabilidad expuesta en internet, pero el riesgo es significativo para instalaciones multi-shop no parcheadas.
¿Qué hacer?
Actualizar inmediatamente a PrestaShop 8.2.9 o 9.2.1, según corresponda, para aplicar el parche de seguridad.
| CVE | CVE-2026-71519 |
|---|---|
| Severidad | HIGH |
| CVSS | 8.1 / 10 |
| CWE | CWE-639 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.