Az elmúlt hónapokban több kritikus hiba is nyilvános lett, amelyeken keresztül bejelentkezés nélkül át lehet venni a webshopot: a gyári szűrő modulban, a Kapcsolat űrlapon, és sok megvásárolt téma oldalépítő moduljában. Ez a cikk sorra veszi, melyik hiba kit érint, honnan derül ki, és mi a javítás.
Októberben a PHP-ban is volt egy súlyos hiba, ahhoz a tárhelyplatformok már kiadták a javítást, a régi PHP-verziókhoz is. A PHP azonban csak a program, amelyen a PrestaShop fut: a PrestaShopban és a modulokban talált hibákat a frissítése nem javítja.
Nem értek a technikáhozMagyarán mondva: ha a tárhely javított, akkor kész vagyok?
Nem. A webshop három rétegből áll: a tárhelyen futó PHP-ból, magából a PrestaShopból, és a rátelepített modulokból, témákból. A tárhelyszolgáltató az elsőt javítja, a másik kettőhöz nem nyúl.
A PrestaShopban és néhány elterjedt modulban most olyan hibák ismertek, amelyeken keresztül idegenek bejelentkezés nélkül bejuthatnak a webshopba. Ezeket a webshopon kell javítani: frissítéssel, vagy ha az nem járható, a javítás beépítésével a meglévő verzióba.
A teendő: megkérdezni a webshop karbantartóját, hogy az alábbiak rendben vannak-e. Ha nincs karbantartó, az alábbi űrlapon kérhető átnézés.
Kérdések a webshop karbantartójának
Melyik verziójú a webshopon a Faceted Search szűrő modul, legalább 4.0.4-es-e? Javítva van-e a Kapcsolat űrlap hibája (CVE-2026-44212) frissítéssel vagy a hivatalos javító modullal? Van-e a webshopon Ap PageBuilder vagy más Leo-témás modul, és ha igen, melyik verzió? Maradt-e a tárhelyen olyan modul, amely már nincs használatban?
Elég, ha a tárhely kijavította a PHP-t?
A PHP-hibára igen. Az októberi hibához (CVE-2026-109618 és CVE-2026-109619) a tárhelyplatformok a régi PHP-verziókhoz is kiadták a javított csomagot; a verziószám ilyenkor nem változik, a javítás a csomagban van. Hogy a saját tárhelyen fent van-e, azt a PHP-hibáról szóló cikkünk alapján lehet megkérdezni.
A PrestaShop és a modulok hibáira nem. Ezek a webshop saját fájljaiban vannak (a szűrő modul, az admin sablonjai, a téma moduljai), a tárhely PHP-frissítése ezeket nem érinti.
Melyik PrestaShop-hibák kritikusak most?
| Hiba | Mit tesz lehetővé | Érintett | Javítás |
|---|---|---|---|
| Faceted Search szűrő modul CVE-2026-54159, 10/10 | bejelentkezés nélküli kódfuttatás a szerveren | a modul 3.0.0–4.0.3, ha a szűrőben ár- vagy súlycsúszka van | modul 4.0.4 |
| Kapcsolat űrlap CVE-2026-44212, 9,3/10 | az admin átvétele egy beküldött üzeneten keresztül | minden PrestaShop 8.2.6 előtt, és a 9.0.0–9.1.0 | 8.2.6, 9.1.1 vagy a hivatalos javító modul |
| Ap PageBuilder (Leo-témák) CVE-2022-22897, 9,8/10 CVE-2024-6648, 8,7/10 | adatbázis-hozzáférés; a szerver bármely fájljának olvasása | 2.4.5 és régebbi; 4.0.0 előtt | a modul új verziója vagy beépített javítás |
| Termékimport modul (simpleimportproduct) CVE-2024-25846, 10/10 | PHP-fájl feltöltése bejelentkezés nélkül | 6.7.0 és régebbi, akkor is, ha nincs telepítve | új verzió, vagy a modul törlése a tárhelyről |
A pontszám a hibák nemzetközi súlyossági skálája (CVSS); 9 felett kritikus. Mindegyik hibához nyilvános közlemény tartozik, a források a cikk végén.
Mi a hiba a szűrő modulban (Faceted Search)?
A Faceted Search a PrestaShop gyári szűrő modulja: a kategóriaoldalakon ezzel szűrhet a vásárló ár, márka vagy tulajdonság szerint. A 3.0.0–4.0.3-as verzióban egyetlen, bejelentkezés nélküli kéréssel kódot lehetett futtatni a szerveren, ami a webshop és a szerver teljes átvételéhez vezethet. A támadó ilyenkor jellemzően saját PHP-fájlt helyez el a modul mappájában.
Érintett minden webshop, amelyen a modul 3.0.0–4.0.3 verziója fut, ha a szűrőben ár- vagy súlycsúszka van. A javítás a modul 4.0.4-es verziója (2026. június 3.). Ha a modul nem frissíthető, mert a PrestaShop régi, a javítás egy fájlban kézzel is átvezethető a meglévő verzióba.
Ha a webshopon érintett verzió futott, a PrestaShop azt javasolja, hogy keressék a betörés nyomait: ismeretlen PHP-fájlokat a modules/ps_facetedsearch/ mappában. Ha van ilyen, a modulfrissítés nem elég, a webshopot ki kell vizsgálni.
Mi a hiba a Kapcsolat űrlapon?
A nyilvános Kapcsolat űrlapon bárki beküldhetett olyan e-mail-címet, amelyben kód rejtőzik. Amikor egy munkatárs az adminban, a Vásárlók > Vevőszolgálat menüben megnyitotta az üzenetet, a kód a böngészőjében futott, és a támadó átvehette az admin munkamenetét: belépés nélkül hozzáfért a rendelésekhez, a vásárlók adataihoz és a beállításokhoz.
A hiba a PrestaShop saját kódjában van, így a 8.2.6 előtti minden változatot érinti, az 1.7-et és az 1.6-ot is. Megkerülő beállítás nincs. A javítás a 8.2.6 és a 9.1.1; aki nem tud frissíteni, annak a PrestaShop hivatalos javító modult adott ki, amely az 1.7-en, a 8-on és a 9-en is működik. Az 1.6-hoz és a javító modul által nem támogatott régi változatokhoz a javítást kézzel kell átvezetni az admin sablonjába.
Mi a gond az Ap PageBuilderrel és a Leo-témákkal?
Az Ap PageBuilder (appagebuilder) egy oldalépítő modul, amely sok megvásárolt PrestaShop-témával együtt kerül a webshopra, főleg a Leo Theme és az Apollo Theme témáival; a webshoptulajdonos gyakran nem is tud róla, hogy fent van. Két ismert, kritikus hibája:
- 2.4.5 és régebbi: bejelentkezés nélkül olvasható és módosítható az adatbázis, ami admin-hozzáféréshez és a vásárlói adatok kiszivárgásához vezethet (9,8/10).
- 4.0.0 előtt: bejelentkezés nélkül olvasható a szerver bármely fájlja, köztük a webshop beállításai és az adatbázis jelszava (8,7/10).
Mindkét hibához nyilvános a támadó kód, és a Friends of Presta biztonsági csoport szerint a támadás kódolt kéréssel a legtöbb webes tűzfalon átjuthat. Az általunk átnézett webshopokon a témával érkező további Leo-modulokban (diavetítő, gyors belépés, blog) is volt javítandó hiba, ezért a téma moduljait érdemes együtt átnézni.
Miért veszélyes a régi, nem használt modul?
A modul kikapcsolása vagy eltávolítása (uninstall) a fájlokat a tárhelyen hagyhatja, és a modul PHP-fájljai közvetlen címen akkor is futnak, ha a PrestaShop már nem tud a modulról. A modulok kockázatáról szóló cikkünk részletesen leírja a különbséget a kikapcsolás, az eltávolítás és a törlés között.
Példa erre a simpleimportproduct termékimport modul: a 6.7.0 és régebbi verzión bárki PHP-fájlt tölthetett fel a webshopra. A Friends of Presta szerint ezt a hibát kártyaadat-lopó kód tömeges telepítésére használják. Egy általunk vizsgált webshopba is egy ilyen, telepítetlenül a tárhelyen hagyott importmodulon át jutottak be.
Mi a teendő régi PrestaShopon, ahol nincs frissítés?
A PrestaShop a javított kiadást a 8.2-es és a 9.1-es ágban adta ki (8.2.6, 9.1.1). Régi webshopon (1.6, 1.7, 8.0–8.1) a teljes frissítés a témát és a modulokat is érinti, ezért nem mindig végezhető el azonnal. Ilyenkor a javítás átültethető a meglévő verzióba: a hibás fájlt a javított változat szerint módosítjuk, a webshop többi része változatlan marad. A 2026-os biztonsági frissítésekről szóló cikkünk a támogatott ágak javításait sorolja fel kiadásonként.
A hosszú távú megoldás itt is a frissítés egy támogatott verzióra, mert csak ott érkezik a következő hiba javítása is magától.
Mit érdemes most tenni?
- Megnézni a Faceted Search verzióját a Modulok > Modul kezelő oldalon. Ha 4.0.4 alatti, frissíteni vagy a javítást beépíteni, és megnézni a modul mappáját ismeretlen PHP-fájlok után.
- Javítani a Kapcsolat űrlap hibáját: 8.2.6-ra vagy 9.1.1-re frissítéssel, vagy a hivatalos javító modullal. Addig a Vevőszolgálat üzeneteit érdemes óvatosan megnyitni.
- Átnézni a téma moduljait: van-e Ap PageBuilder vagy más Leo-modul, és melyik verzió.
- Törölni a tárhelyről a nem használt modulokat, főleg a régi import- és exportmodulokat.
- Megkérdezni a tárhelyszolgáltatót a PHP októberi javításáról, ha ez még nem történt meg.
Gyakori kérdések
A tárhelyszolgáltató azt írta, javította a PHP-t. Akkor a webshop védett?
A PHP-hibára igen. A PrestaShop és a modulok hibáira nem, ezeket a webshopon kell javítani: a Faceted Search modult, a Kapcsolat űrlapot és a téma moduljait.
Honnan tudom, hogy a webshopon van-e Ap PageBuilder?
A Modulok > Modul kezelő oldalon kell rákeresni a nevére, a kikapcsolt modulokat is megjelenítve. Ha a modul fájljai telepítés nélkül is a tárhelyen vannak, az csak a tárhely modules mappájában látszik.
Mennyire sürgős?
A Faceted Search és a Kapcsolat űrlap hibája bejelentkezés nélkül kihasználható, és a hibák leírása nyilvános, ezért érdemes most javítani. A PrestaShop teljes frissítését utána, tervezetten.
Mi van, ha a webshopot már feltörték?
Ilyenkor a frissítés nem elég: meg kell keresni és eltávolítani a támadó fájljait és esetleges admin-fiókját, és cserélni a jelszavakat és a titkos kulcsokat. Az átnézés ezt is tartalmazza.
Források: Faceted Search közlemény (GitHub), PrestaShop: Faceted Search frissítés, Kapcsolat űrlap közlemény (GitHub), PrestaShop 8.2.6, Friends of Presta: Ap PageBuilder (2023), Friends of Presta: Ap PageBuilder (2025), Friends of Presta: simpleimportproduct
Hozzászólások
Még nincs hozzászólás.