В режиме отладки "Производительность > Режим отладки" PrestaShop существует уязвимость внедрения PHP-кода. Аутентифицированный злоумышленник может внедрить вредоносный PHP-код через специально сформированные значения конфигурации cookie. Эти значения записываются в исполняемый файл конфигурации PHP, что приводит к выполнению произвольного кода. Уязвимость возникает из-за недостаточной обработки пользовательских значений debug_cookie_name и debug_cookie_value. Для эксплуатации требуется аутентифицированная учетная запись в бэк-офисе с правами на изменение режима отладки и доступный для записи файл конфигурации. Внедренный код выполняется с привилегиями процесса PHP, не требуя прав root. Это может позволить получить доступ к секретам, данным клиентов, изменять файлы и нарушать работу магазина. Выполнение команд операционной системы зависит от конфигурации PHP. PrestaShop версии 9.2.1 устраняет эту проблему. Администраторам следует обновиться до версии 9.2.1 или более поздней. Если немедленное обновление невозможно, ограничьте доступ к настройкам "Производительность" и "Режим отладки" доверенным администраторам. Кроме того, ограничьте сетевой доступ к бэк-офису и запретите процессу PHP запись в файлы config/defines.inc.php и config/defines_custom.inc.php.