🔎 O que é?
A PrestaShop divulgou uma vulnerabilidade crítica de segurança no módulo oficial Faceted Search (ps_facetedsearch), amplamente utilizado para filtragem e pesquisa de produtos em lojas online.
Segundo o fornecedor, pedidos especialmente manipulados podem ser processados de forma insegura pelo módulo, permitindo a execução de código não autorizado no servidor.
A vulnerabilidade não requer autenticação, o que significa que pode ser explorada remotamente sem necessidade de acesso prévio à loja. Foi disponibilizada uma correção através da versão 4.0.4 do módulo.
⚠️ O que afeta?
A vulnerabilidade afeta:
- Módulo ps_facetedsearch
- Versões 3.0.0 até 4.0.3
- Lojas PrestaShop 1.7.1.0 ou superior
A vulnerabilidade encontra-se corrigida na atualização:
- ps_facetedsearch 4.0.4 ou superior
Dado que este módulo é amplamente utilizado em lojas PrestaShop para navegação por filtros e categorias, o número potencial de instalações afetadas é significativo.
🧠 Impacto técnico
Segundo a PrestaShop, a vulnerabilidade pode permitir que pedidos especialmente construídos sejam processados de forma insegura pelo módulo. Em determinados cenários, esta falha pode resultar na execução de código arbitrário no servidor onde a loja se encontra alojada.
Uma vez que a exploração não requer autenticação, qualquer loja que utilize uma versão vulnerável do módulo deve ser considerada potencialmente exposta até que a atualização seja aplicada.
O impacto potencial inclui:
- Execução remota de código (RCE)
- Comprometimento da loja online
- Instalação de malware ou webshells
- Acesso não autorizado a dados da loja
- Comprometimento do ambiente de alojamento
🛡️ Mitigação da Vulnerabilidade
A mitigação recomendada pela PrestaShop consiste na atualização imediata do módulo para:
ps_facetedsearch 4.0.4
A atualização do módulo constitui a única correção completa para esta vulnerabilidade.
Como medidas complementares, a PrestaShop recomenda:
- Verificação de ficheiros suspeitos dentro da diretoria
modules/ps_facetedsearch - Análise dos logs de acesso do servidor
- Utilização de Web Application Firewall (WAF)
- Utilização de serviços de proteção como Cloudflare
- Restrição de funções PHP potencialmente perigosas
- Manutenção regular das atualizações da loja e módulos
🧾 Conclusão
Esta vulnerabilidade deve ser considerada crítica devido à possibilidade de execução remota de código sem necessidade de autenticação.
Se utiliza o módulo Faceted Search (ps_facetedsearch) na sua loja PrestaShop, recomendamos a atualização para a versão 4.0.4 com a maior brevidade possível.
Para mais informações, consulte os seguintes endereços: