CVE-2026-14846
Publiée le 2026-07-13 · Dernière modification le 2026-10-24
La version 8.2.1 de PrestaShop est affectée par une faille dans la manière dont les alias d'adresse sont nettoyés. Un attaquant disposant de privilèges administratifs de haut niveau peut injecter du code malveillant dans un champ d'adresse, lequel s'exécute lorsqu'un autre utilisateur exporte ses données vers un fichier CSV. L'exploitation nécessite un accès réseau et une interaction spécifique de l'utilisateur, car la victime doit déclencher l'exportation CSV pour que l'attaque réussisse.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
In version 8.2.1 of PrestaShop, there is a vulnerability relating to the incorrect sanitisation of elements, caused by inadequate validation of the ‘Alias’ parameter in the ‘Update your address’ function. This flaw allows an attacker to inject malicious expressions that are executed when the information is exported using the ‘Get my data in CSV’ tool. Successful exploitation of this vulnerability could facilitate unauthorised access to the victim’s personal data.