Qué es y cómo funciona
Una falla de autorización (CWE-863) en la Webservice API de PrestaShop permite que una clave de API configurada para acceder solo a una tienda específica pueda actuar sobre los datos de todas las tiendas de la instalación. El atacante puede explotar esto enviando solicitudes con parámetros como id_shop=all o id_shop_group=N. Esto hace que la función shopHasRight() en el archivo classes/webservice/WebserviceRequest.php evalúe incorrectamente los permisos, permitiendo operaciones de lectura, modificación o eliminación de datos en tiendas no autorizadas.
Productos y versiones afectadas
Las versiones de PrestaShop anteriores a la 8.2.9 y anteriores a la 9.2.1 están afectadas por esta vulnerabilidad.
Impacto real
Un atacante que obtenga una clave de API con permisos restringidos podría acceder a registros completos de clientes de cualquier tienda, incluyendo direcciones de correo electrónico, secure_key y hashes de contraseñas. Esto representa una violación masiva de la confidencialidad e integridad de los datos en instalaciones multi-tienda. La puntuación CVSS 8.1 y la clasificación de severidad P por parte del INCIBE-CERT (España) indican un riesgo alto.
¿Se está explotando?
Según datos de Shodan, actualmente hay 0 hosts indexados detectados con esta vulnerabilidad, lo que sugiere un volumen bajo de objetivos expuestos directamente en internet en este momento. Sin embargo, la disponibilidad pública de los detalles técnicos aumenta la probabilidad de que aparezcan intentos de explotación.
Qué hacer
Los administradores de PrestaShop deben actualizar inmediatamente a la versión 8.2.9 o 9.2.1, según corresponda a su rama, para parchear la vulnerabilidad.
| CVE | CVE-2026-71531 |
|---|---|
| Severidad | HIGH |
| CVSS | 8.1 / 10 |
| CWE | CWE-863 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).