В версиях PrestaShop 1.7 — 8.2.2 страница сброса пароля Back Office могла показать скрытое поле с адресом электронной почты администратора даже если токен сброса был неверный. По сути: зная URL админки, можно перебирать id_employee и подобрать реальные e-mail админов. Исправлено в 8.2.3.
Список реальных e-mail админов — хорошая стартовая база для фишинга, целевых рассылок и попыток захвата учётных записей. Это не полный взлом, но даёт атакующему полезную информацию, которую он использует дальше.
Что делать прямо сейчас
-
Обновите магазин до PrestaShop 8.2.3 или выше — окончательное решение.
-
Если обновление нельзя сделать мгновенно — закройте доступ к админке извне: IP-whitelist, VPN, или защита на уровне веб-сервера (auth). Пусть админка доступна только от доверенных исходных адресов.
-
Поменяйте путь админки, если он стандартный (
/admin,/admin123и т.п.) — простая мера, которая усложняет автоматическое сканирование
Как понять, что ваш магазин под угрозой
-
Версия PrestaShop ниже 8.2.3 — вы уязвимы.
-
Админка доступна по простому пути вроде
/admin— лучше закрыть доступ и сменить путь. -
В логах сервера много похожих запросов к форме сброса пароля — возможно, кто-то пытается проверить email-адреса.
Если вы владелец интернет-магазина на PrestaShop — обновление до 8.2.3 и выше — обязательное. Дополнительно закройте админку извне, включите двухфакторную аутентификацию и следите за логами. Это простые меры, которые реально защищают ваш магазин.
Подробнее >
