Módulos de PrestaShop con vulnerabilidades conocidas

Cómo leer esta lista

Cada fila tiene el nombre técnico del módulo (el nombre de su carpeta en modules/, que es lo que debes buscar), el nombre comercial, el identificador CVE con enlace al aviso, las versiones afectadas, la versión que lo corrige y la gravedad publicada (puntuación CVSS 3.1, de 0 a 10). Marco los casos en los que el aviso indica que el fallo se ha usado en ataques reales, en la mayoría para instalar skimmers que roban tarjetas.

La fuente principal es la base de avisos de Friends of Presta, la asociación sin ánimo de lucro que coordina la seguridad del ecosistema PrestaShop, cruzada con el registro de cada CVE en el NVD. No es una lista completa: Friends of Presta publica cientos de avisos y aquí recojo los de módulos de pago, checkout, blogs, cookies y temas que más me encuentro en tiendas españolas.

Módulos con fallos publicados

Pago y checkout

Ventanas, cookies y maquetación

Blogs, menús y temas

Presupuestos, envíos y módulos nativos

Dos avisos llevan nota especial: para simpleimportproduct, Friends of Presta considera que la corrección deja un riesgo alto y recomienda plantearse eliminar el módulo; y para jmsmegamenu no hay versión corregida publicada, así que la única salida segura es quitarlo o sustituirlo.

Núcleo de PrestaShop

El núcleo también tiene fallos, aunque se corrigen y publican de forma ordenada en los avisos de seguridad del repositorio oficial. Los más relevantes para decidir si actualizar:

• CVE-2022-31181 · desde 1.6.0.10 · corregido en 1.7.8.7 · Crítica (9,8). Inyección SQL encadenada con la caché de Smarty en MySQL para ejecutar código; es la campaña de 2022 que dejaba un blm.php en la raíz y un formulario de pago falso. A veces se cita como CVE-2022-36408, un identificador rechazado por duplicado.
• CVE-2023-30839 · corregido en 8.0.4 y 1.7.8.9 · Crítica. Un empleado del back-office podía escribir en la base de datos a través del gestor SQL sin tener permisos para ello.
• CVE-2023-39528 y CVE-2023-39526 · corregidos en 8.1.1 (y en 8.0.5 y 1.7.8.10 el segundo) · Críticas. Lectura de archivos del servidor y posible ejecución de código desde el back-office.
• CVE-2024-34716 · 8.1.0 a 8.1.5 · corregido en 8.1.6 · Crítica. XSS a través del formulario de contacto con un archivo adjunto.
• CVE-2026-44212 · corregido en 8.2.6 y 9.1.1 · Crítica. XSS almacenado que se ejecuta en la vista de atención al cliente del back-office.
• Agosto de 2026: cinco avisos (inyección SQL en filtros del back-office, SSRF en la importación CSV, suplantación de IP con X-Forwarded-For, exposición de datos de clientes en notificaciones e inyección de fórmulas en exportaciones CSV), corregidos en 8.2.8 y 9.1.5.

Módulos oficiales. No todo viene de terceros: en junio de 2026 se publicó un fallo crítico (10 sobre 10) en ps_facetedsearch, el módulo oficial de los filtros del catálogo que traen casi todas las tiendas 1.7, 8 y 9. Afecta de la 3.0.0 a la 4.0.3 y se corrige en la 4.0.4. Cómo comprobar tu versión y qué hacer si no puedes actualizar, en ps_facetedsearch (CVE-2026-54159).

Si estás en 1.7, ninguno de los fallos que se descubran a partir de ahora tendrá parche: la rama dejó de mantenerse con la salida de PrestaShop 9.0. Cómo dar el salto, en actualizar PrestaShop.

Cómo comprobar tu tienda

1. Saca la lista de módulos y versiones

En el back-office, Módulos → Gestor de módulos muestra cada módulo con su versión. Más rápido, desde la base de datos (cambia ps_ por tu prefijo):

SELECT name, version, active FROM ps_module ORDER BY name;

Ojo: esta tabla guarda la versión registrada en la instalación. Si alguien subió archivos nuevos por FTP sin pasar por el gestor, la versión real está en el archivo principal del módulo (modules/nombre/nombre.php, en la línea $this->version).

2. Busca también los que no aparecen

Un módulo desinstalado pero cuyos archivos siguen en modules/ no sale en el gestor y sigue siendo atacable, porque sus scripts responden igual. Compara la lista de carpetas con la de la base de datos:

ls modules/ > carpetas.txt
# compara con la columna name de ps_module: lo que solo está en carpetas.txt, a revisar

3. Cruza con los avisos

Busca cada nombre técnico en security.friendsofpresta.org y en el NVD. Si tienes una versión afectada: actualiza a la corregida, y si no hay corrección o el autor ya no da soporte, quita el módulo y sus archivos.

4. Si había un módulo afectado, revisa si ya entraron

Actualizar cierra la puerta, pero no echa a quien ya está dentro. Si tuviste una versión vulnerable con aviso de explotación, revisa la tienda como si estuviera hackeada: archivos modificados, overrides, configuración y checkout. Los pasos, en qué hacer si hackean tu PrestaShop.

El conector de solo lectura hace este cruce de forma automática: lee la lista real de módulos y versiones desde dentro de la tienda, la compara con los avisos publicados y comprueba la integridad del núcleo, sin poder modificar nada. Desde fuera, el análisis gratuito detecta los módulos que se ven públicamente. Los detalles del servicio, en seguridad PrestaShop.

Si el autor no corrige el fallo

Pasa más de lo que parece: módulos abandonados, autores que no responden o temas comprados hace años cuyo proveedor ya no existe. En esos casos, las opciones reales son tres, por orden de preferencia:

1. Sustituir el módulo por otro mantenido que haga lo mismo, o por un módulo nativo de PrestaShop si cubre la función.
2. Eliminarlo si la función no es imprescindible. Borra la carpeta completa de modules/, no basta con desinstalarlo.
3. Corregirlo tú o tu desarrollador, si tienes el código: los avisos de Friends of Presta suelen explicar qué método o qué parámetro es vulnerable, y a veces incluyen el parche. Es un arreglo propio que tendrás que mantener en cada actualización.

Un cortafuegos de aplicación (WAF) puede frenar parte de los ataques mientras decides, pero varios avisos advierten de que hay variantes del ataque pensadas para esquivarlo. Úsalo como medida temporal, no como solución.

Si ya hay síntomas (cargos que tus clientes no reconocen, archivos PHP nuevos en la raíz, un formulario de pago que tú no pusiste), actualizar el módulo no basta: la tienda hay que revisarla y limpiarla, como explico en PrestaShop hackeado. Y si quieres que alguien cruce tus módulos con los avisos cada mes, eso es lo que hace el mantenimiento PrestaShop.

Fuentes

• Friends of Presta: avisos de seguridad (cada fila enlaza a su aviso).
• NVD, National Vulnerability Database del NIST, para la descripción y puntuación de cada CVE.
• Avisos de seguridad del núcleo de PrestaShop en GitHub.
• Aviso de PrestaShop sobre la campaña de julio de 2022.