ثغرة في برنامج MyPresta Google Merchant Center Feed

CVE ID

CVE-2026-85520

تاريخ النشر

29 سبتمبر 2026

البائع

MyPresta

المنتج

Google Merchant Center Feed

الإصدارات المعرضة للخطر

من 1.9.1 إلى 2.3.8

نوع الثغرة (CWE)

التحكم الخارجي في اسم الملف أو المسار (CWE-73)

مصدر التقرير

تقرير إلى CERT Polska

الوصف

تلقت CERT Polska تقريرًا عن ثغرة في برنامج MyPresta Google Merchant Center Feed وشاركت في تنسيق الكشف عنها.

الثغرة CVE-2026-85520: وحدة Google Merchant Center Feed (gmfeed) لـ PrestaShop معرضة لكتابة ملفات عشوائية غير مصادق عليها في نقطة النهاية feed.php. يمكن لمهاجم غير مصادق عليه إرسال طلب مصمم يتحكم في اسم الملف الناتج، والمسار، والامتداد، والمحتوى من خلال معلمات الطلب. نظرًا لعدم وجود مصادقة والتحقق من المدخلات، يتم معالجة الطلب بنجاح، مما يسمح للمهاجم بكتابة وتنفيذ كود PHP عشوائي، مما يؤدي إلى تنفيذ كود عن بُعد (RCE).

تم إصلاح هذه المشكلة في الإصدار 2.3.9.

الشكر

نشكر Today Group sp. z o.o. على تقرير الثغرة المسؤول.

يمكن العثور على مزيد من المعلومات حول عملية الكشف المنسقة عن الثغرات في CERT Polska على https://cert.pl/en/cvd/.

الثغرات المرجعية

CVE-2026-85520 CVSS 9.3 CRITICAL Deferred

CVE-2026-85520 - Unauthenticated arbitrary file write leading to RCE in gmfeed PrestaShop module

Google Merchant Center Feed (gmfeed) module for PrestaShop is vulnerable to unauthenticated arbitrary file write in the feed.php endpoint. An unauthenticated attacker can send a crafted request that controls the output file name, path, extension, and content through request parameters. Due to the lack of authentication and input validation, the request is processed successfully, allowing an attacker to write and execute arbitrary PHP code, resulting in remote code execution (RCE). This issue was fixed in version 2.3.9.

ثغرة في برنامج MyPresta Google Merchant Center Feed

الثغرات المرجعية

المزيد من cert.pl