CVE-2026-54159 in ps_facetedsearch
Sumário
de VulDB • 18/07/2026
O módulo ps_facetedsearch do PrestaShop adiciona filtros de navegação em camadas (layered navigation). Da versão 3.0.0 até a 4.0.4, o módulo ps_facetedsearch reconstrói os filtros de pesquisa selecionados com base na URL da requisição, e o valor de um filtro deslizante (slider), seja de preço ou peso, é obtido diretamente da URL sem validação suficiente. Esse valor é armazenado em um cache interno do bloco de filtros, onde é serializado e posteriormente lido novamente através de uma chamada nativa raw unserialize() no arquivo src/Filters/Block.php. Ao manipular esse valor, um atacante não autenticado pode introduzir (smuggle) um objeto PHP serializado malicioso no cache; quando o objeto é desserializado, uma cadeia de gadgets (gadget chain) escreve um arquivo PHP arbitrário dentro do diretório modules/ps_facetedsearch/, que então funciona como uma webshell para executar comandos no servidor. Este problema foi corrigido na versão 4.0.4.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.