# Módulos de PrestaShop con vulnerabilidades conocidas

> Módulos de PrestaShop con fallos de seguridad publicados: CVE, versiones afectadas y corregidas, avisos del núcleo y cómo comprobar tu tienda paso a paso.

URL: https://webintacta.com/guias/modulos-prestashop-vulnerables
Última actualización: 2026-10-23

**En resumen:** Muchas tiendas PrestaShop se hackean por módulos de terceros con vulnerabilidades publicadas (CVE), no por el núcleo. Esta guía reúne módulos conocidos con fallos documentados por Friends of Presta, con la versión afectada y la corregida, y explica cómo comprobar los de tu tienda. Si un módulo tuyo está en la lista y no lo has actualizado, hay que actualizarlo o retirarlo y revisar si ya lo han usado para entrar.


Por Jose Soriano (WebIntacta) · publicada el 2026-10-08

La mayoría de tiendas PrestaShop hackeadas que reviso no caen por el núcleo, sino por un módulo de terceros con un fallo publicado hace meses. Esta es una selección de módulos conocidos o muy instalados con vulnerabilidades documentadas, sacada solo de fuentes verificables. Última revisión: 8 de octubre de 2026.

## Cómo leer esta lista

Cada fila tiene el **nombre técnico** del módulo (el nombre de su carpeta en `modules/`, que es lo que debes buscar), el nombre comercial, el identificador CVE con enlace al aviso, las versiones afectadas, la versión que lo corrige y la gravedad publicada (puntuación CVSS 3.1, de 0 a 10). Marco los casos en los que el aviso indica que el fallo **se ha usado en ataques reales**, en la mayoría para instalar skimmers que roban tarjetas.

La fuente principal es la base de avisos de [Friends of Presta](https://security.friendsofpresta.org/), la asociación sin ánimo de lucro que coordina la seguridad del ecosistema PrestaShop, cruzada con el registro de cada CVE en el [NVD](https://nvd.nist.gov/). No es una lista completa: Friends of Presta publica cientos de avisos y aquí recojo los de módulos de pago, checkout, blogs, cookies y temas que más me encuentro en tiendas españolas.

> Que tu módulo no esté aquí no significa que sea seguro. Y que esté no significa que tu tienda esté hackeada: significa que, si tienes una versión afectada, debes actualizar o quitar el módulo ya.

## Módulos con fallos publicados

### Pago y checkout

| Módulo | CVE | Afectadas | Corregida | Gravedad |
| --- | --- | --- | --- | --- |
| `blockwishlist` Lista de deseos (PrestaShop) | [CVE-2022-31101](https://security.friendsofpresta.org/modules/2022/06/24/blockwishlist.html) | 2.0.0 a 2.1.0 | 2.1.1 | Alta (8,8) |
| `ps_checkout` PrestaShop Checkout (PrestaShop) | [CVE-2025-61922](https://security.friendsofpresta.org/modules/2025/10/23/ps_checkout.html) | desde 1.3.0 | 4.4.1 / 5.0.5 | Crítica (9,1) |
| `paypal` PayPal Official (202 ecommerce) | [CVE-2024-41670](https://security.friendsofpresta.org/modules/2024/07/26/paypal.html) | ≤ 6.4.1 (PS 1.7+) · ≤ 3.18.0 (PS 1.6) | 6.4.2 / 3.18.1 | Media (6,5) |
| `paypal` PayPal para PrestaShop 1.6 y 1.5 (202 ecommerce) | [CVE-2023-28843](https://security.friendsofpresta.org/modules/2023/03/31/paypal-CVE-2023-28843.html) | 3.12.0 a 3.16.3 | 3.16.4 | Crítica (9,8) |
| `stripejs` Stripe Payment Pro (NTS) — no es stripe_official | [CVE-2023-23315](https://security.friendsofpresta.org/modules/2023/03/01/stripejs.html) | < 4.5.5 | 4.5.5 | Crítica (9,8) · **usado en ataques** |
| `MoneticoPaiement` Monetico Paiement (EuroInformation) | [CVE-2023-45256](https://security.friendsofpresta.org/modules/2025/06/10/MoneticoPaiement.html) | ≤ 1.1.0 | 1.1.1 | Crítica (9,8) |
| `supercheckout` One Page Checkout, Social Login & Mailchimp (KnowBand) | [CVE-2023-45384](https://security.friendsofpresta.org/modules/2023/10/17/supercheckout.html) | ≤ 6.0.6 | 6.0.7 | Crítica (10) · **usado en ataques** |
| `supercheckout` One Page Checkout, Social Login & Mailchimp (KnowBand) | [CVE-2023-44024](https://security.friendsofpresta.org/modules/2023/10/05/supercheckout.html) | ≤ 8.0.3 | 8.0.4 | Crítica (9,8) · **usado en ataques** |
| `pscartabandonmentpro` Abandoned Cart Reminder Pro (PrestaShop) | [CVE-2024-28392](https://security.friendsofpresta.org/modules/2024/03/14/pscartabandonmentpro.html) | ≤ 2.0.11 | 2.0.12 | Alta (8,8) |
| `simpleimportproduct` Product Catalog (CSV, Excel) Import (MyPrestaModules) | [CVE-2024-25846](https://security.friendsofpresta.org/modules/2024/02/27/simpleimportproduct.html) | ≤ 6.7.0 | 6.7.1 (FoP aconseja valorar quitarlo) | Crítica (10) · **usado en ataques** |
| `autosuggest` Search Auto Suggest (KnowBand) | [CVE-2024-33272](https://security.friendsofpresta.org/modules/2024/04/25/autosuggest.html) | < 2.0.0 | 2.0.0 | Crítica (9,8) · **usado en ataques** |

### Ventanas, cookies y maquetación

| Módulo | CVE | Afectadas | Corregida | Gravedad |
| --- | --- | --- | --- | --- |
| `advancedpopupcreator` Advanced Popup Creator (Idnovate) | [CVE-2025-69633](https://security.friendsofpresta.org/modules/2026/02/16/advancedpopupcreator-cve-2025-69633.html) | < 1.2.7 | 1.2.7 | Crítica (9,8) · **usado en ataques** |
| `creativepopup` Creative Popup (WebshopWorks) | [CVE-2023-45381](https://security.friendsofpresta.org/modules/2023/10/19/creativepopup.html) | ≤ 1.6.9 | 1.6.10 | Crítica (9,8) |
| `lgcookieslaw` EU Cookie Law GDPR, Banner + Blocker (Línea Gráfica) | [CVE-2022-44727](https://security.friendsofpresta.org/modules/2022/11/06/lgcookieslaw.html) | 1.5.0 a < 2.1.3 | 2.1.3 | Crítica (9,8) |
| `cookiebanner` Cookie Law, Banner + Cookie blocker (UpLight) | [CVE-2023-39640](https://security.friendsofpresta.org/modules/2023/09/21/cookiebanner.html) | ≤ 1.5.0 | 1.5.1 | Crítica (9,8) |
| `appagebuilder` Ap Page Builder (Apollotheme / LeoTheme) | [CVE-2022-22897](https://security.friendsofpresta.org/modules/2023/01/05/appagebuilder.html) | ≤ 2.4.5 | ver aviso; hoy, 4.0.0 o superior | Crítica (9,8) |
| `appagebuilder` Ap Page Builder (Apollotheme / LeoTheme) | [CVE-2024-6648](https://security.friendsofpresta.org/modules/2025/05/22/appagebuilder.html) | < 4.0.0 | 4.0.0 | Alta (8,7) |

### Blogs, menús y temas

| Módulo | CVE | Afectadas | Corregida | Gravedad |
| --- | --- | --- | --- | --- |
| `leoblog` Leo Blog (LeoTheme) | [CVE-2023-39639](https://security.friendsofpresta.org/modules/2023/08/31/leoblog.html) | ≤ 3.1.2 | 3.1.3 | Crítica (9,8) · **usado en ataques** |
| `jmsmegamenu` Jms MegaMenu (Joommasters) | [CVE-2023-29630](https://security.friendsofpresta.org/modules/2023/03/13/jmsmegamenu.html) | todas (al menos 1.1.x y 2.0.x) | sin versión corregida publicada | Crítica (9,8) · **usado en ataques** |
| `tvcmsblog` Blog del tema Electron (Themevolty) | [CVE-2023-27846](https://security.friendsofpresta.org/modules/2023/10/25/tvcmsblog.html) | < 4.0.8 | 4.0.8 | Crítica (9,8) |
| `smartblog` SmartBlog (SmartDataSoft) | [CVE-2021-37538](https://security.friendsofpresta.org/module/2021/08/24/smartblog.html) | < 4.0.6 | 4.0.6 | Crítica (9,8) |
| `ph_simpleblog` Blog de Prestahome | [CVE-2021-36748](https://security.friendsofpresta.org/module/2021/08/20/ph_simpleblog.html) | < 1.7.8 | 1.7.8 | Crítica (9,8) · **usado en ataques** |
| `prestablog` PrestaBlog (HDclic) | [CVE-2023-45378](https://security.friendsofpresta.org/modules/2023/10/26/prestablog.html) | ≤ 4.4.7 | 4.4.8 | Crítica (9,8) |

### Presupuestos, envíos y módulos nativos

| Módulo | CVE | Afectadas | Corregida | Gravedad |
| --- | --- | --- | --- | --- |
| `opartdevis` Opart Devis (Opart) | [CVE-2023-48188](https://security.friendsofpresta.org/modules/2023/11/23/opartdevis.html) | 4.5.18 a 4.6.12 | 4.6.13 | Crítica (9,8) |
| `correosoficial` Correos Oficial (Grupo Correos) | [CVE-2022-46639](https://security.friendsofpresta.org/modules/2023/01/23/correosoficial.html) | 1.1.0 a < 1.2.0 | 1.2.0 | Alta (7,5) |
| `ps_contactinfo` Información de contacto (módulo nativo) | [CVE-2025-24027](https://security.friendsofpresta.org/core/2025/01/22/ps_contactinfo.html) | ≤ 3.3.2 | 3.3.3 | Baja (4,1) |

Fuente: avisos de Friends of Presta enlazados en cada CVE, cruzados con el NVD. Revisado el 8 de octubre de 2026.

Dos avisos llevan nota especial: para `simpleimportproduct`, Friends of Presta considera que la corrección deja un riesgo alto y recomienda plantearse eliminar el módulo; y para `jmsmegamenu` no hay versión corregida publicada, así que la única salida segura es quitarlo o sustituirlo.

## Núcleo de PrestaShop

El núcleo también tiene fallos, aunque se corrigen y publican de forma ordenada en los [avisos de seguridad del repositorio oficial](https://github.com/PrestaShop/PrestaShop/security/advisories). Los más relevantes para decidir si actualizar:

- **[CVE-2022-31181](https://github.com/PrestaShop/PrestaShop/security/advisories/GHSA-hrgx-p36p-89q4)** · desde 1.6.0.10 · corregido en 1.7.8.7 · Crítica (9,8). Inyección SQL encadenada con la caché de Smarty en MySQL para ejecutar código; es la campaña de 2022 que dejaba un `blm.php` en la raíz y un formulario de pago falso. A veces se cita como CVE-2022-36408, un identificador rechazado por duplicado.
- **[CVE-2023-30839](https://github.com/PrestaShop/PrestaShop/security/advisories/GHSA-p379-cxqh-q822)** · corregido en 8.0.4 y 1.7.8.9 · Crítica. Un empleado del back-office podía escribir en la base de datos a través del gestor SQL sin tener permisos para ello.
- **[CVE-2023-39528](https://github.com/PrestaShop/PrestaShop/security/advisories/GHSA-hpf4-v7v2-95p2)** y **[CVE-2023-39526](https://github.com/PrestaShop/PrestaShop/security/advisories/GHSA-gf46-prm4-56pc)** · corregidos en 8.1.1 (y en 8.0.5 y 1.7.8.10 el segundo) · Críticas. Lectura de archivos del servidor y posible ejecución de código desde el back-office.
- **[CVE-2024-34716](https://github.com/PrestaShop/PrestaShop/security/advisories/GHSA-45vm-3j38-7p78)** · 8.1.0 a 8.1.5 · corregido en 8.1.6 · Crítica. XSS a través del formulario de contacto con un archivo adjunto.
- **[CVE-2026-44212](https://github.com/PrestaShop/PrestaShop/security/advisories/GHSA-w9f3-qc75-qgx9)** · corregido en 8.2.6 y 9.1.1 · Crítica. XSS almacenado que se ejecuta en la vista de atención al cliente del back-office.
- **Agosto de 2026**: cinco avisos (inyección SQL en filtros del back-office, SSRF en la importación CSV, suplantación de IP con `X-Forwarded-For`, exposición de datos de clientes en notificaciones e inyección de fórmulas en exportaciones CSV), corregidos en **8.2.8 y 9.1.5**.

**Módulos oficiales.** No todo viene de terceros: en junio de 2026 se publicó un fallo crítico (10 sobre 10) en **ps_facetedsearch**, el módulo oficial de los filtros del catálogo que traen casi todas las tiendas 1.7, 8 y 9. Afecta de la 3.0.0 a la 4.0.3 y se corrige en la 4.0.4. Cómo comprobar tu versión y qué hacer si no puedes actualizar, en [ps_facetedsearch (CVE-2026-54159)](https://webintacta.com/guias/ps-facetedsearch-vulnerabilidad).

Si estás en 1.7, ninguno de los fallos que se descubran a partir de ahora tendrá parche: la rama dejó de mantenerse con la salida de PrestaShop 9.0. Cómo dar el salto, en [actualizar PrestaShop](https://webintacta.com/guias/actualizar-prestashop).

## Cómo comprobar tu tienda

### 1. Saca la lista de módulos y versiones

En el back-office, **Módulos → Gestor de módulos** muestra cada módulo con su versión. Más rápido, desde la base de datos (cambia `ps_` por tu prefijo):

```
SELECT name, version, active FROM ps_module ORDER BY name;
```

Ojo: esta tabla guarda la versión **registrada en la instalación**. Si alguien subió archivos nuevos por FTP sin pasar por el gestor, la versión real está en el archivo principal del módulo (`modules/nombre/nombre.php`, en la línea `$this->version`).

### 2. Busca también los que no aparecen

Un módulo desinstalado pero cuyos archivos siguen en `modules/` no sale en el gestor y **sigue siendo atacable**, porque sus scripts responden igual. Compara la lista de carpetas con la de la base de datos:

```
ls modules/ > carpetas.txt
# compara con la columna name de ps_module: lo que solo está en carpetas.txt, a revisar
```

### 3. Cruza con los avisos

Busca cada nombre técnico en [security.friendsofpresta.org](https://security.friendsofpresta.org/) y en el NVD. Si tienes una versión afectada: actualiza a la corregida, y si no hay corrección o el autor ya no da soporte, quita el módulo y sus archivos.

### 4. Si había un módulo afectado, revisa si ya entraron

Actualizar cierra la puerta, pero no echa a quien ya está dentro. Si tuviste una versión vulnerable con aviso de explotación, revisa la tienda como si estuviera hackeada: archivos modificados, overrides, configuración y checkout. Los pasos, en [qué hacer si hackean tu PrestaShop](https://webintacta.com/guias/prestashop-hackeado-que-hacer).

El [conector de solo lectura](https://webintacta.com/conector) hace este cruce de forma automática: lee la lista real de módulos y versiones desde dentro de la tienda, la compara con los avisos publicados y comprueba la integridad del núcleo, sin poder modificar nada. Desde fuera, el [análisis gratuito](https://webintacta.com/analisis-seguridad-web-gratis) detecta los módulos que se ven públicamente. Los detalles del servicio, en [seguridad PrestaShop](https://webintacta.com/seguridad-prestashop).

## Si el autor no corrige el fallo

Pasa más de lo que parece: módulos abandonados, autores que no responden o temas comprados hace años cuyo proveedor ya no existe. En esos casos, las opciones reales son tres, por orden de preferencia:

1. **Sustituir el módulo** por otro mantenido que haga lo mismo, o por un módulo nativo de PrestaShop si cubre la función.
2. **Eliminarlo** si la función no es imprescindible. Borra la carpeta completa de `modules/`, no basta con desinstalarlo.
3. **Corregirlo tú o tu desarrollador**, si tienes el código: los avisos de Friends of Presta suelen explicar qué método o qué parámetro es vulnerable, y a veces incluyen el parche. Es un arreglo propio que tendrás que mantener en cada actualización.

Un cortafuegos de aplicación (WAF) puede frenar parte de los ataques mientras decides, pero varios avisos advierten de que hay variantes del ataque pensadas para esquivarlo. Úsalo como medida temporal, no como solución.

Si ya hay síntomas (cargos que tus clientes no reconocen, archivos PHP nuevos en la raíz, un formulario de pago que tú no pusiste), actualizar el módulo no basta: la tienda hay que revisarla y limpiarla, como explico en [PrestaShop hackeado](https://webintacta.com/prestashop-hackeado). Y si quieres que alguien cruce tus módulos con los avisos cada mes, eso es lo que hace el [mantenimiento PrestaShop](https://webintacta.com/mantenimiento-prestashop).

## Fuentes

- [Friends of Presta: avisos de seguridad](https://security.friendsofpresta.org/) (cada fila enlaza a su aviso).
- [NVD, National Vulnerability Database](https://nvd.nist.gov/) del NIST, para la descripción y puntuación de cada CVE.
- [Avisos de seguridad del núcleo de PrestaShop en GitHub](https://github.com/PrestaShop/PrestaShop/security/advisories).
- [Aviso de PrestaShop sobre la campaña de julio de 2022](https://build.prestashop-project.org/news/2022/major-security-vulnerability-on-prestashop-websites/).

## Preguntas frecuentes

### ¿Cómo sé si un módulo de PrestaShop es vulnerable?

Busca su nombre técnico (el de la carpeta en modules/) en security.friendsofpresta.org y en el NVD, y compara tu versión con las afectadas. Recuerda revisar también los módulos desinstalados cuyos archivos siguen en el servidor.

### ¿Basta con desactivar un módulo vulnerable?

No. Un módulo desactivado o desinstalado sigue teniendo sus archivos en el servidor y muchos ataques llaman a esos archivos directamente. Hay que actualizarlo o borrar su carpeta.

### ¿Qué es Friends of Presta?

Una asociación sin ánimo de lucro que apoya el ecosistema PrestaShop y publica avisos de seguridad de módulos, con su CVE, versiones afectadas y corregidas.

### ¿Cada cuánto se actualiza esta lista?

La reviso periódicamente y la fecha de la última revisión está al principio. Para lo más reciente, consulta siempre la fuente directamente.

## Sobre el autor

[Jose Soriano](https://webintacta.com/quien-soy): Desarrollador fullstack especializado en PrestaShop, WordPress y WooCommerce, con el curso y el examen oficiales de PrestaShop aprobados. Desarrolla tiendas online y módulos desde 2023 y es el fundador de WebIntacta, el servicio de seguridad web con el que analiza, limpia y mantiene él mismo webs de pymes y tiendas online, en remoto desde Ibi (Alicante). Datos de WebIntacta: https://webintacta.com/quien-soy#datos