Tres CVE de PrestaShop 8 que se arreglan actualizando a 8.2.3

En septiembre de 2025 un compañero resumió en el grupo tres vulnerabilidades de PrestaShop 8 corregidas en versiones recientes, con un aviso: cuidado si estás por debajo de la 8.2. Ninguna deja entrar a cualquiera, pero las tres se cierran actualizando, y en 2025 se atacaron mucho las tiendas sin actualizar.

Las tres, en corto

CVE-2023-39528: leer ficheros del servidor

Un fallo en el método que muestra el HTML de los correos permitía leer ficheros arbitrarios del servidor, incluso fuera de la tienda, si el servidor estaba mal configurado. Según el aviso oficial, para aprovecharlo hace falta una cuenta del back-office con privilegios altos. Aun así, en una tienda con muchos empleados o con una contraseña filtrada es un riesgo real.

CVE-2024-21628: XSS en los mensajes del pedido

El formulario «añadir mensaje» del detalle del pedido, en la parte pública, no limpiaba el HTML. En el back-office, Twig escapa el contenido y el impacto es bajo; en la tienda, el XSS se limita al propio cliente que escribe el mensaje. El riesgo aparece con módulos de terceros que muestran esos mensajes sin escapar: un panel de atención al cliente, un conector con un CRM… Si tienes alguno, compruébalo.

CVE-2025-51586: averiguar los correos de los empleados

Manipulando id_employee y reset_token en el restablecimiento de contraseña del back-office, un atacante sin sesión que conozca la URL del back-office podía saber qué correos de empleado son válidos. Algunas bases de datos públicas la dan por corregida en la 8.2.1, pero el aviso oficial de PrestaShop la sitúa por debajo de la 8.2.3 y la corrige en esa versión. No da acceso por sí mismo, pero facilita el phishing y los ataques de contraseña. Gustavo lo puso en su sitio: solo sirve si conocen la URL del back-office, así que no es lo más urgente. Pero si la conocen, lo es: a un compañero con cosas raras en los correos de recuperación de contraseña le dijo que le habían pillado la URL de administración, y que instalara ya el doble factor y la cambiara.

El aviso oficial no da otra salida que actualizar a la 8.2.3 (o aplicar sus cambios). Mientras lo haces, puedes reducir el riesgo:

• Limita el acceso al back-office por IP o VPN.
• Añade un segundo factor de autenticación.
• Vigila las peticiones al restablecimiento de contraseña.
• Si sospechas que la URL de administración circula, cambia el nombre de la carpeta.

Dónde mirarlo tú

PrestaShop publica sus avisos de seguridad en GitHub. Merece la pena repasarlos antes de dejar la actualización para «más adelante». Para saber en qué versión estás exactamente, mira Parámetros avanzados → Información en el back-office; ahí también aparecen los ficheros del núcleo que se han modificado, otra cosa que conviene revisar de vez en cuando. Y si sigues en 1.7.8, ten en cuenta que esa rama está en soporte extendido desde la salida de la 8.0: solo recibe correcciones de seguridad críticas, sin calendario fijo.

Para subir a la última 8.2 sin sustos, en Rekire hacemos la actualización dentro del bono de 50 horas.

Esto salió en @PrestashopEsp, la mayor comunidad PrestaShop de España en Telegram. Ver la conversación