Уязвимость в программном обеспечении MyPresta Google Merchant Center Feed
CVE ID
CVE-2026-85520
Дата публикации
29 сентября 2026
Поставщик
MyPresta
Продукт
Google Merchant Center Feed
Уязвимые версии
С 1.9.1 по 2.3.8
Тип уязвимости (CWE)
Внешний контроль имени файла или пути (CWE-73)
Источник отчета
Отчет в CERT Polska
Описание
CERT Polska получил отчет об уязвимости в программном обеспечении MyPresta Google Merchant Center Feed и участвовал в координации его раскрытия.
Уязвимость CVE-2026-85520: модуль Google Merchant Center Feed (gmfeed) для PrestaShop уязвим к неаутентифицированной произвольной записи файлов в конечной точке feed.php. Неаутентифицированный злоумышленник может отправить специально подготовленный запрос, который контролирует имя выходного файла, путь, расширение и содержимое через параметры запроса. Из-за отсутствия аутентификации и проверки входных данных запрос обрабатывается успешно, что позволяет злоумышленнику записывать и выполнять произвольный PHP-код, что приводит к удаленному выполнению кода (RCE).
Эта проблема была исправлена в версии 2.3.9.
Кредиты
Мы благодарим Today Group sp. z o.o. за ответственный отчет об уязвимости.
Больше информации о процессе координированного раскрытия уязвимостей в CERT Polska можно найти по адресу https://cert.pl/en/cvd/.