🚨 Alerte sécurité PrestaShop

🛡️ Faille critique du module ps_facetedsearch : votre boutique PrestaShop est-elle en danger ?

Tout comprendre sur la vulnérabilité de la « Recherche à facettes », savoir si vous avez déjà été piraté, et fermer la porte en 5 minutes. ⏱️

🔑 Mots-clés : faille PrestaShop, ps_facetedsearch, sécurité e-commerce, injection SQL, recherche à facettes, mise à jour PrestaShop, webshell, piratage boutique en ligne, CVE PrestaShop, protéger PrestaShop

Si vous gérez une boutique PrestaShop, cet article peut littéralement sauver votre site. 💾 Une faille de sécurité critique touche le module officiel ps_facetedsearch (la fameuse « Recherche à facettes » qui affiche les filtres prix / marque / couleur sur vos pages catégories). Elle permet à un attaquant d'agir sans aucun mot de passe, sans aucun compte. 😱

Bonne nouvelle : la corriger est simple et rapide. Encore faut-il savoir quoi vérifier. On vous explique tout, étape par étape, même si vous n'êtes pas développeur. 👇

⚡ En résumé (pour les pressés)

• Module concerné : ps_facetedsearch (Recherche à facettes)




• Versions vulnérables : de la 3.0.0 à la 4.0.3




• Version corrigée : 4.0.4 ✅




• Gravité : 🔴 Critique (exécution de code à distance, sans authentification)




• Action : Mettre à jour en 4.0.4 ou renommer/supprimer le module si vous ne l'utilisez pas.

🔍 1. C'est quoi, concrètement, cette faille ?

Le module « Recherche à facettes » lit les filtres directement depuis l'adresse de la page (ce qui se trouve après le ?q= dans l'URL). Exemple d'une URL parfaitement normale :

/3-chaussures?q=Couleur-Noir/Marque-Nike&order=product.price.asc

Le problème : dans les versions vulnérables, ces filtres ne sont pas suffisamment nettoyés avant d'être utilisés. Un attaquant peut donc glisser des instructions malveillantes à la place d'un simple « Noir » ou « Nike ». C'est ce qu'on appelle une injection SQL 💉 — et dans le pire des cas, elle permet de déposer un fichier pirate sur le serveur pour en prendre le contrôle.

🎭 2. Comment un pirate s'y prend (exemples volontairement incomplets)

ℹ️ Note importante : les exemples ci-dessous sont tronqués et neutralisés exprès. Le but est que vous reconnaissiez une attaque dans vos journaux, pas de fournir un mode d'emploi. 🙅‍♂️

Étape 1 — l'attaquant teste l'injection. Au lieu d'un filtre normal, il envoie quelque chose comme :

/3-categorie?q=Poids-0)%20UNION%20SELECT%20…(coupé)…--%20-

Étape 2 — il cherche à déposer un fichier piégé (un « webshell ») dans un dossier du site, à l'aide d'instructions du type INTO OUTFILE '…/up.php'. C'est précisément pourquoi l'éditeur recommande de chercher des fichiers PHP anormaux dans le dossier du module.

Étape 3 — il utilise ce fichier pour exécuter des commandes :

/modules/ps_facetedsearch/up.php?c=…(commande)…

👉 En clair : le pirate passe de « visiteur anonyme » à « propriétaire de votre serveur » en quelques requêtes. Il peut alors voler vos données clients, injecter du spam SEO, ou rediriger vos paiements. 💳❌

🕵️ 3. Suis-je DÉJÀ piraté ? Les vérifications à faire

Voici les signes qui ne trompent pas. Vous pouvez demander ces vérifications à votre hébergeur ou à votre développeur si vous n'êtes pas à l'aise avec la ligne de commande.

🛡️ La solution WebPoint

😮‍ Heureusement, ne paniquez pas : on veille pour vous !

Et si vous étiez prévenu à la seconde où un pirate touche un fichier ? Notre module WebPoint Monitoring surveille votre boutique en temps réel : 🔍 toute modification, 🆕 création ou 🗑️ suppression de fichier déclenche une alerte immédiate. Vous repérez une intrusion avant qu'elle ne fasse des dégâts. 🚀

✅ Surveillance temps réel 🔔 Alertes instantanées 🛡️ Anti-piratage ⚙️ Zéro config compliquée

.