FICHE CVE

CVE-2024-36682

Publiée le 2024-06-24 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les boutiques PrestaShop utilisant le module « Theme settings » (version 1.8.8 ou antérieure) sont touchées par un manque de contrôle d'accès sur le fichier de collecte d'e-mails utilisé pendant le mode maintenance. Un attaquant distant non authentifié peut télécharger directement ce fichier texte pour dérober les adresses e-mail personnelles de tous les visiteurs s'étant inscrits pour recevoir des notifications. L'exécution de cette action est triviale car elle ne nécessite aucun privilège particulier ni interaction de l'utilisateur, au-delà d'un accès réseau basique au serveur.

CVSS 3.17.5 ÉLEVÉE

Type de faiblesse

CWE-359

Publiée2024-06-24

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéAucun

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

In the module "Theme settings" (pk_themesettings) <= 1.8.8 from Promokit.eu for PrestaShop, a guest can download all email collected while SHOP is in maintenance mode. Due to a lack of permissions control, a guest can access the txt file which collect email when maintenance is enable which can lead to leak of personal information.