PrestaShop 后台的“性能 > 调试模式”存在 PHP 代码注入漏洞。经过身份验证的攻击者可通过精心构造的 cookie 配置值注入恶意 PHP 代码。这些值会被写入可执行的 PHP 配置文件，从而导致任意代码执行。该漏洞源于对用户可控的 debug_cookie_name 和 debug_cookie_value 参数缺乏适当的转义。利用此漏洞需要拥有调试模式修改权限的经过身份验证的后台账户，以及可写的配置文件。注入的代码将以 PHP 进程的权限执行，无需 root 权限。这可能使攻击者能够获取密钥、访问客户数据、修改文件以及破坏商店运营。操作系统命令的执行取决于 PHP 配置。PrestaShop 9.2.1 版本已修复此问题。管理员应升级至 9.2.1 或更高版本。若无法立即升级，则应限制对“性能”和“调试模式”设置的访问权限，仅允许受信任的管理员访问。此外，应限制对后台的网络访问，并防止 PHP 进程向 config/defines.inc.php 和 config/defines_custom.inc.php 写入数据。