CVE-2026-44212: PrestaShop: XSS armazenado na visualização de Atendimento ao Cliente do back-office
A CVE-2026-44212 é uma falha de cross-site scripting armazenado na visualização de Atendimento ao Cliente do back-office do PrestaShop, que afeta versões anteriores à 8.2.6 e a partir da 9.0.0-alpha.1 até antes da 9.1.1. Segundo o registro, um atacante não autenticado pode enviar um conteúdo malicioso pelo formulário público Fale Conosco, que é executado quando um funcionário do back-office abre a conversa afetada. A CNA classifica como crítica, com pontuação CVSS v3.1 de 9.3, e não foi encontrada exploração confirmada nas fontes consultadas.
Visão geral
A CVE-2026-44212 é uma fraqueza de cross-site scripting (XSS) armazenado, classificada como CWE-79, na visualização de Atendimento ao Cliente do back-office do PrestaShop. Segundo o registro, a entrada maliciosa chega pelo formulário público Fale Conosco e é renderizada depois para um funcionário do back-office. O problema está documentado no aviso de segurança do GitHub GHSA-w9f3-qc75-qgx9.
Impacto
- O registro descreve como possíveis consequências o sequestro de sessão e a tomada completa do back-office.
- O vetor CVSS v3.1 indica ataque pela rede, sem necessidade de privilégios, com necessidade de interação do usuário, escopo alterado e alto impacto na confidencialidade e na integridade.
- O impacto técnico no SSVC está registrado como total.
Produtos e versões afetadas
- PrestaShop anterior à 8.2.6.
- PrestaShop a partir da 9.0.0-alpha.1 até antes da 9.1.1.
A lista estruturada de correções do registro está vazia, mas a descrição informa que o problema está corrigido nas versões 8.2.6 e 9.1.1.
Status de exploração
- Segundo o registro, a CVE não consta no catálogo KEV da CISA.
- O campo de exploração do SSVC está registrado como none e o campo de automatização como no.
- Nenhuma exploração confirmada na natureza aparece nas fontes consultadas.
Correção e mitigação
- Atualize as instalações dos ramos afetados para a 8.2.6 ou posterior, ou para a 9.1.1 ou posterior no ramo 9.
- Até a aplicação da atualização, restrinja o acesso ao back-office a redes e equipes de confiança.
- Reduza a exposição limitando a abertura de conversas de clientes originadas do formulário público até que a correção esteja aplicada.
- Consulte o aviso de segurança do GitHub para orientações do fornecedor.
Orientações de detecção
- Revise mensagens de Atendimento ao Cliente armazenadas e registros de formulários de contato em busca de marcação inesperada ou conteúdo com aparência de script nos campos de e-mail.
- Monitore sessões do back-office em busca de atividade incomum, como logins de locais desconhecidos ou alterações administrativas inesperadas.
- Mantenha registros de auditoria do acesso ao back-office para que atividades suspeitas possam ser analisadas.
Limitações das informações disponíveis
- O registro não inclui referências de commits, diffs de correção nem uma análise técnica detalhada além do link do aviso.
- A lista estruturada de correções está vazia, e as versões corrigidas foram obtidas do texto da descrição.
- Não é possível saber, a partir do registro, se firewalls de aplicação web ou filtros de entrada bloqueariam o conteúdo armazenado.
Perguntas frequentes
Quais versões do PrestaShop são afetadas pela CVE-2026-44212?
O registro indica como afetadas as versões anteriores à 8.2.6 e as versões a partir da 9.0.0-alpha.1 até antes da 9.1.1.
Como um atacante pode acionar este XSS armazenado?
Segundo o registro, o conteúdo é enviado pelo formulário público Fale Conosco com um endereço de e-mail malicioso e é executado quando um funcionário do back-office abre a conversa do cliente afetada.
Esta CVE é conhecida por ser explorada na natureza?
O registro não a lista no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.