| Module | PrestaShop Checkout |
|---|---|
| Nom technique | ps_checkout |
| Éditeur | PrestaShop |
| Identifiant | CVE-2025-61922 |
| Score CVSS | 9.1 / 10 |
| Type | Prise de contrôle de compte client |
| Versions touchées | >= 1.3.0, < 4.4.1 et < 5.0.5 |
| Version corrigée | 4.4.1 / 5.0.5 |
| Publication de l'avis | 16 octobre 2025 |
Attention
Dans le back-office, les versions affichées à installer au minimum sont 7.5.0.5 (PrestaShop 1.7), 8.5.0.5 (PrestaShop 8) ou 9.5.0.5 (PrestaShop 9).
Ce que la faille permet
Selon l'avis, une validation manquante dans la fonction Express Checkout permettait de se connecter au compte d'un client à partir de sa seule adresse e-mail, puis de voir ses données et de passer des commandes en son nom.
Les traces à chercher
- Connexions de clients inhabituelles
- Commandes ou modifications de compte que les clients ne reconnaissent pas
Le correctif
Mettre à jour le module : dans le back-office, la version affichée doit être au moins 7.5.0.5 (PrestaShop 1.7), 8.5.0.5 (PrestaShop 8) ou 9.5.0.5 (PrestaShop 9). L'avis conseille aussi de surveiller l'activité des comptes et d'envisager d'informer les clients en cas de compromission suspectée.
Chronologie
- 16/10/2025 : versions corrigées et avis de PrestaShop
- 23/10/2025 : avis Friends Of Presta
Suis-je concerné ?
Étape 1
Le module est-il présent ?
Par FTP ou dans le gestionnaire de fichiers de votre hébergeur, cherchez le dossier modules/ps_checkout/. Un module désinstallé mais toujours présent sur le serveur reste exploitable.
Étape 2
Quelle version ?
Dans le back-office (Modules > Gestionnaire de modules), ou dans le fichier config.xml du dossier du module.
Étape 3
Comparer
Versions touchées : >= 1.3.0, < 4.4.1 et < 5.0.5. Version corrigée : 4.4.1 / 5.0.5.
● Test gratuit · 10 secondes
Votre boutique montre-t-elle des signes d'infection ?
Le scan ne peut pas savoir si ce module est installé chez vous, mais il repère ce que ce type de faille sert à implanter : script de vol de carte, code caché, redirection. Réponse en 10 secondes, gratuit, sans inscription.
Scan passif de votre page d'accueil, comme un visiteur. Sans inscription. Scannez uniquement un site dont vous êtes responsable.
Que faire
Étape 1
Mettre à jour
Installer la version 4.4.1 / 5.0.5 ou supérieure, depuis la source officielle de l'éditeur.
Étape 2
Changer les accès
Mots de passe de l'administration et de la base de données, surtout si la faille permet de lire la base.
Questions fréquentes
Ma boutique est-elle concernée ?
Oui si le module PrestaShop Checkout est installé dans une version antérieure à 7.5.0.5 (PrestaShop 1.7), 8.5.0.5 (PrestaShop 8) ou 9.5.0.5 (PrestaShop 9). Le premier chiffre de la version affichée dans le back-office correspond à votre version de PrestaShop. La faille touche la fonction Express Checkout du module.
Où vérifier la version du module ?
Dans le back-office, menu Modules > Gestionnaire de modules, en cherchant « PrestaShop Checkout ». Si une mise à jour est proposée, installez-la depuis cette interface.
La faille est-elle exploitée par des pirates ?
À la date de notre vérification, l'avis Friends Of Presta ne la signale pas comme exploitée activement. Elle est toutefois notée 9,1 sur 10 et ne demande aucune authentification : ne la laissez pas ouverte.
La mise à jour suffit-elle ?
Elle ferme la faille, mais n'annule pas un accès déjà obtenu. L'avis recommande aussi de surveiller l'activité des comptes clients : connexions inhabituelles, commandes ou modifications que les clients ne reconnaissent pas.
Les cartes bancaires de mes clients sont-elles exposées ?
Selon l'avis, la faille donne accès au compte d'un client (données personnelles, commandes, commandes passées en son nom). Elle n'est pas décrite comme un vol de numéros de carte. Le vol de carte au paiement relève d'un autre problème, le skimmer, qui se recherche différemment.
Dois-je prévenir mes clients ou la CNIL ?
L'avis conseille d'envisager d'informer les clients en cas de compromission suspectée. Si des données personnelles ont été consultées par un tiers, il s'agit d'une violation de données : la notification à la CNIL se fait en principe sous 72 h lorsqu'elle présente un risque pour les personnes.
Source
Avis de sécurité Friends Of Presta : security.friendsofpresta.org/modules/2025/10/23/ps_checkout.html. Données vérifiées le 24 septembre 2026 ; reportez-vous à l'avis pour les détails techniques.