MyPresta Google Merchant Center Feed 软件中的漏洞

CVE ID

CVE-2026-85520

发布日期

2026年9月29日

供应商

MyPresta

产品

Google Merchant Center Feed

受影响版本

从 1.9.1 到 2.3.8

漏洞类型 (CWE)

外部控制文件名或路径 (CWE-73)

报告来源

报告给 CERT Polska

描述

CERT Polska 收到了关于 MyPresta Google Merchant Center Feed 软件漏洞的报告，并参与了其披露的协调工作。

漏洞 CVE-2026-85520：PrestaShop 的 Google Merchant Center Feed (gmfeed) 模块在 feed.php 端点存在未经身份验证的任意文件写入漏洞。未经身份验证的攻击者可以通过请求参数发送一个经过精心构造的请求，控制输出文件名、路径、扩展名和内容。由于缺乏身份验证和输入验证，该请求成功处理，允许攻击者写入并执行任意 PHP 代码，导致远程代码执行 (RCE)。

此问题在版本 2.3.9 中得到修复。

致谢

感谢 Today Group sp. z o.o. 提供负责任的漏洞报告。

有关 CERT Polska 协调漏洞披露过程的更多信息，请访问 https://cert.pl/en/cvd/。

相关漏洞

CVE-2026-85520 CVSS 9.3 CRITICAL Deferred

CVE-2026-85520 - Unauthenticated arbitrary file write leading to RCE in gmfeed PrestaShop module

Google Merchant Center Feed (gmfeed) module for PrestaShop is vulnerable to unauthenticated arbitrary file write in the feed.php endpoint. An unauthenticated attacker can send a crafted request that controls the output file name, path, extension, and content through request parameters. Due to the lack of authentication and input validation, the request is processed successfully, allowing an attacker to write and execute arbitrary PHP code, resulting in remote code execution (RCE). This issue was fixed in version 2.3.9.

MyPresta Google Merchant Center Feed 软件中的漏洞

相关漏洞

更多来自 cert.pl