PrestaShop Checkout Backoffice directory traversal allows arbitrary file disclosure

TRUNG BÌNH 4.1CVE-2025-61923 · GHSA-fpxp-pfqm-x54w · Công bố 16/10/2025 · cập nhật 09/10/2026

Tóm tắt nhanh

CVE-2025-61923 là lỗ hổng mức TRUNG BÌNH (CVSS 4.1) ảnh hưởng prestashop/ps_checkout, prestashop checkout (prestashop).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.92%, cao hơn 60.3% các lỗ hổng khác.
Cách xử lý: cập nhật lên 5.0.5, 4.4.1, 7.5.0.5, 8.4.4.1 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
prestashop/ps_checkout Packagist	`≥ 5.0.0, < 5.0.5< 4.4.1`	`5.0.54.4.1`
prestashop checkout prestashop	`≥ 7.5.0.1, < 7.5.0.5≥ 8.3.1.0, < 8.4.4.1≥ 8.5.0.0, < 8.5.0.5≥ 9.4.3.1, < 9.5.0.5< 7.4.4.1`	`7.5.0.58.4.4.18.5.0.59.5.0.57.4.4.1`

Mô tả

Impact

Missing validation on input vulnerable to directory traversal.

Patches

The problem has been patched in versions:

v4.4.1 for PrestaShop 1.7 (build number: 7.4.4.1) v4.4.1 for PrestaShop 8 (build number: 8.4.4.1) v5.0.5 for PrestaShop 1.7 (build number: 7.5.0.5) v5.0.5 for PrestaShop 8 (build number: 8.5.0.5) v5.0.5 for PrestaShop 9 (build number: 9.5.0.5)

Read the Versioning policy to learn more about the build number.

Credits

Léo CUNÉAZ for reportied this issue.

Mô tả của NVD

PrestaShop Checkout is the PrestaShop official payment module in partnership with PayPal. In versions prior to 4.4.1 and 5.0.5, the backoffice is missing validation on input resulting in a directory traversal and arbitrary file disclosure. The vulnerability is fixed in versions 4.4.1 and 5.0.5. No known workarounds exist.