| Module | Product Catalog (CSV, Excel) Import |
|---|---|
| Nom technique | simpleimportproduct |
| Éditeur | MyPrestaModules |
| Identifiant | CVE-2024-25846 |
| Score CVSS | 10 / 10 |
| Type | Téléversement de fichier PHP non authentifié |
| Versions touchées | <= 6.7.0 |
| Version corrigée | 6.7.1 |
| Publication de l'avis | 27 février 2024 |
Attention
Selon l'avis, la correction de la 6.7.1 reste incomplète (faille résiduelle notée 9.1) : la suppression du module est conseillée.
Ce que la faille permet
Selon l'avis, un visiteur non connecté pouvait faire déposer puis exécuter du code sur le serveur, en contournant la plupart des pare-feu applicatifs.
En juillet 2024, l'avis a été mis à jour : la faille est activement utilisée pour déployer des skimmers de cartes bancaires.
Les traces à chercher
- Des fichiers PHP inconnus dans les dossiers de données du module
Le correctif
La version 6.7.1 réduit le risque sans le supprimer (faille résiduelle notée 9.1) : l'avis recommande de supprimer le module.
Chronologie
- Mai 2023 : signalement
- Février 2024 : publication de l'avis
- Juillet 2024 : exploitation active confirmée
Suis-je concerné ?
Étape 1
Le module est-il présent ?
Par FTP ou dans le gestionnaire de fichiers de votre hébergeur, cherchez le dossier modules/simpleimportproduct/. Un module désinstallé mais toujours présent sur le serveur reste exploitable.
Étape 2
Quelle version ?
Dans le back-office (Modules > Gestionnaire de modules), ou dans le fichier config.xml du dossier du module.
Étape 3
Comparer
Versions touchées : <= 6.7.0. Version corrigée : 6.7.1.
● Test gratuit · 10 secondes
Votre boutique montre-t-elle des signes d'infection ?
Le scan ne peut pas savoir si ce module est installé chez vous, mais il repère ce que ce type de faille sert à implanter : script de vol de carte, code caché, redirection. Réponse en 10 secondes, gratuit, sans inscription.
Scan passif de votre page d'accueil, comme un visiteur. Sans inscription. Scannez uniquement un site dont vous êtes responsable.
Que faire
Étape 1
Mettre à jour
Installer la version 6.7.1 ou supérieure, depuis la source officielle de l'éditeur.
Étape 2
Partir du principe que la boutique a pu être touchée
La faille est exploitée activement : une mise à jour ne retire pas un skimmer déjà installé. Faites vérifier les fichiers du cœur, les modules, la base de données et la page de paiement.
Étape 3
Chercher des traces dans les journaux
Recherchez dans les journaux d'accès des requêtes vers modules/simpleimportproduct/ et des requêtes POST inhabituelles, en gardant en tête que les journaux des hébergeurs ne remontent souvent qu'à quelques semaines.
Étape 4
Changer les accès
Mots de passe de l'administration et de la base de données, surtout si la faille permet de lire la base.
Pourquoi c'est urgent
Les failles exploitées activement sont scannées automatiquement par des robots sur des milliers de boutiques. Une boutique vulnérable n'est pas « peut-être » visée : elle le sera.
Sur PrestaShop, l'objectif le plus fréquent est l'installation d'un skimmer qui vole les cartes bancaires de vos clients, avec les obligations qui en découlent (notification à la CNIL, information de la banque).
Source
Avis de sécurité Friends Of Presta : security.friendsofpresta.org/modules/2024/02/27/simpleimportproduct.html. Données vérifiées le 24 septembre 2026 ; reportez-vous à l'avis pour les détails techniques.