PrestaShop의 백오피스 Performance > Debug mode에 PHP 코드 주입 취약점이 존재합니다. 인증된 공격자는 조작된 쿠키 설정 값을 통해 악성 PHP 코드를 주입할 수 있습니다. 이 값들은 실행 가능한 PHP 설정 파일에 기록되어 임의 코드 실행으로 이어집니다. 이 취약점은 사용자 제어의 debug_cookie_name 및 debug_cookie_value에 대한 부적절한 이스케이핑에서 비롯됩니다. 악용하려면 디버그 모드 수정 권한과 쓰기 가능한 설정 파일이 있는 인증된 백오피스 계정이 필요합니다. 주입된 코드는 루트 액세스 없이 PHP 프로세스의 권한으로 실행됩니다. 이를 통해 비밀 정보, 고객 데이터 액세스, 파일 수정 및 스토어 운영 방해가 가능할 수 있습니다. 운영 체제 명령 실행은 PHP 설정에 따라 달라집니다. PrestaShop 버전 9.2.1에서 이 문제가 해결되었습니다. 관리자는 버전 9.2.1 이상으로 업그레이드해야 합니다. 즉시 업그레이드가 불가능한 경우, Performance 및 Debug 모드 설정에 대한 액세스를 신뢰할 수 있는 관리자로 제한하십시오. 또한, 백오피스에 대한 네트워크 액세스를 제한하고 PHP 프로세스가 config/defines.inc.php 및 config/defines_custom.inc.php에 쓰는 것을 방지하십시오.