آسیب‌پذیری در نرم‌افزار MyPresta Google Merchant Center Feed

CVE ID

CVE-2026-85520

تاریخ انتشار

29 سپتامبر 2026

فروشنده

MyPresta

محصول

Google Merchant Center Feed

نسخه‌های آسیب‌پذیر

از 1.9.1 تا 2.3.8

نوع آسیب‌پذیری (CWE)

کنترل خارجی نام فایل یا مسیر (CWE-73)

منبع گزارش

گزارش به CERT Polska

توضیحات

CERT Polska گزارشی درباره آسیب‌پذیری در نرم‌افزار MyPresta Google Merchant Center Feed دریافت کرده و در هماهنگی افشای آن شرکت کرده است.

آسیب‌پذیری CVE-2026-85520: ماژول Google Merchant Center Feed (gmfeed) برای PrestaShop در برابر نوشتن فایل دلخواه بدون احراز هویت در نقطه پایانی feed.php آسیب‌پذیر است. یک مهاجم بدون احراز هویت می‌تواند یک درخواست طراحی‌شده ارسال کند که نام فایل خروجی، مسیر، پسوند و محتوا را از طریق پارامترهای درخواست کنترل کند. به دلیل عدم وجود احراز هویت و اعتبارسنجی ورودی، درخواست با موفقیت پردازش می‌شود و به مهاجم اجازه می‌دهد تا کد PHP دلخواه را بنویسد و اجرا کند که منجر به اجرای کد از راه دور (RCE) می‌شود.

این مشکل در نسخه 2.3.9 برطرف شد.

اعتبار

ما از Today Group sp. z o.o. برای گزارش مسئولانه آسیب‌پذیری سپاسگزاریم.

اطلاعات بیشتر درباره فرآیند افشای هماهنگ آسیب‌پذیری در CERT Polska را می‌توانید در https://cert.pl/en/cvd/ پیدا کنید.

آسیب‌پذیری‌های مرتبط

CVE-2026-85520 CVSS 9.3 CRITICAL Deferred

CVE-2026-85520 - Unauthenticated arbitrary file write leading to RCE in gmfeed PrestaShop module

Google Merchant Center Feed (gmfeed) module for PrestaShop is vulnerable to unauthenticated arbitrary file write in the feed.php endpoint. An unauthenticated attacker can send a crafted request that controls the output file name, path, extension, and content through request parameters. Due to the lack of authentication and input validation, the request is processed successfully, allowing an attacker to write and execute arbitrary PHP code, resulting in remote code execution (RCE). This issue was fixed in version 2.3.9.

آسیب‌پذیری در نرم‌افزار MyPresta Google Merchant Center Feed

آسیب‌پذیری‌های مرتبط

اخبار بیشتر از cert.pl