Luka bezpieczeństwa w PrestaShop. Złośliwy adres e-mail w newsletterze może doprowadzić do wycieku danych przez plik CSV

Właściciele sklepów internetowych działających na PrestaShop powinni sprawdzić wersję modułu newslettera ps_emailsubscription. 28 października 2026 roku opublikowano ostrzeżenie o podatności GHSA-pg6j-qf29-gc43, która pozwala osobie niezalogowanej umieścić złośliwą formułę w danych subskrybenta, a następnie doprowadzić do jej przetworzenia po otwarciu wyeksportowanej listy adresów e-mail w programie Microsoft Excel lub LibreOffice Calc. Luka otrzymała ocenę 6,1 punktu w skali CVSS, odpowiadającą średniemu poziomowi zagrożenia. W określonych warunkach skuteczny atak może doprowadzić do ujawnienia danych zawartych w arkuszu, a w starszych i niebezpiecznie skonfigurowanych środowiskach nawet do wykonania niepożądanych poleceń na komputerze pracownika sklepu. Producent udostępnił poprawkę w wersji ps_emailsubscription 3.0.1, dlatego administratorzy korzystający ze starszych wydań powinni niezwłocznie przeprowadzić aktualizację.

Podatność jest szczególnie interesująca z punktu widzenia bezpieczeństwa e-commerce, ponieważ nie wymaga bezpośredniego włamania na serwer sklepu ani przejęcia hasła administratora. Cyberprzestępca może wykorzystać publiczny formularz zapisu na newsletter, czyli funkcję dostępną dla praktycznie każdego odwiedzającego witrynę. Niebezpieczna zawartość zostaje następnie zapisana w bazie danych jako informacja o subskrybencie i może przez długi czas pozostawać niezauważona. Do uruchomienia właściwego mechanizmu ataku dochodzi dopiero wtedy, gdy administrator eksportuje listę odbiorców do pliku CSV i otwiera ją w aplikacji interpretującej określone wartości jako formuły. Oznacza to, że pozornie zwyczajna czynność administracyjna, taka jak przygotowanie listy kontaktów do kampanii mailingowej, może stać się elementem ataku wymierzonego w komputer osoby obsługującej sklep.

Czym jest podatność GHSA-pg6j-qf29-gc43 w PrestaShop?

GHSA-pg6j-qf29-gc43 to podatność bezpieczeństwa wykryta w oficjalnym module PrestaShop o nazwie ps_emailsubscription, odpowiedzialnym za obsługę zapisów na newsletter. Problem sklasyfikowano jako CWE-1236, czyli nieprawidłowe neutralizowanie elementów formuł w plikach CSV. W podatnych wersjach modułu wartości podawane przez użytkowników podczas zapisywania się na newsletter mogły zostać zapisane w bazie danych bez zabezpieczenia przed późniejszą interpretacją przez programy arkuszy kalkulacyjnych. Gdy administrator eksportował listę subskrybentów, niebezpieczna zawartość trafiała do pliku CSV w postaci, którą Excel lub LibreOffice Calc mógł rozpoznać jako formułę, a nie zwykły tekst. Właśnie ten mechanizm umożliwia wykorzystanie publicznego formularza sklepu do zaatakowania osoby pracującej z wyeksportowanymi danymi.

Podatność została oficjalnie ujawniona 28 października 2026 roku przez zespół PrestaShop, a jej odkrycie przypisano badaczowi działającemu pod pseudonimem clotairer. Zgłoszenie otrzymało ocenę CVSS 6,1, ponieważ atak może zostać przygotowany zdalnie i nie wymaga uwierzytelnienia, ale do wystąpienia potencjalnie szkodliwych skutków potrzebne jest działanie administratora. W odróżnieniu od krytycznych podatności typu Remote Code Execution problem nie umożliwia bezpośredniego wykonywania PHP na serwerze sklepu. Zagrożenie występuje na granicy pomiędzy aplikacją internetową a programem wykorzystywanym przez pracownika do analizy lub przetwarzania danych. Dla tej podatności nie przypisano odrębnego numeru CVE, dlatego jej właściwym publicznym identyfikatorem pozostaje GHSA-pg6j-qf29-gc43.

Jak działa moduł ps_emailsubscription w sklepach PrestaShop?

ps_emailsubscription to oficjalne rozszerzenie PrestaShop umożliwiające umieszczenie w sklepie formularza zapisu na newsletter. Dzięki niemu odwiedzający mogą pozostawić swój adres e-mail, aby otrzymywać informacje o promocjach, nowych produktach, rabatach lub wydarzeniach związanych z działalnością sklepu. Moduł pozwala również administratorowi zarządzać subskrybentami i eksportować zgromadzone adresy do pliku CSV. Tak przygotowana lista może zostać następnie wykorzystana w zewnętrznym systemie e-mail marketingowym, programie do zarządzania relacjami z klientami lub innym narzędziu wspierającym sprzedaż. Ponieważ zapis na newsletter jest dostępny publicznie, sklep musi zakładać, że wpisywane dane nie zawsze pochodzą od osób działających w dobrej wierze.

Standardowa lista newsletterowa zawiera przede wszystkim adresy e-mail użytkowników, jednak z punktu widzenia bezpieczeństwa najważniejsze jest to, że dane te przechodzą pomiędzy różnymi systemami. Najpierw są przyjmowane przez formularz internetowy, następnie zapisywane w bazie PrestaShop, a później eksportowane do pliku przeznaczonego do otwarcia na komputerze administratora. Każdy z tych etapów wymaga właściwego przetwarzania informacji, ponieważ format bezpieczny w jednym środowisku nie musi być bezpieczny w innym. Tekst zapisany w bazie danych nie wykonuje samodzielnie instrukcji arkusza kalkulacyjnego, ale po wyeksportowaniu może zostać zinterpretowany przez Excel jako formuła. To właśnie brak odpowiedniego zabezpieczenia podczas generowania pliku CSV stał się przyczyną podatności w ps_emailsubscription.

Jak cyberprzestępca może wykorzystać publiczny formularz newslettera?

Przygotowanie ataku rozpoczyna się od publicznie dostępnego formularza zapisu na newsletter, w którym użytkownik podaje adres e-mail. W podatnych wersjach ps_emailsubscription mechanizm walidacji dopuszczał określone wartości rozpoczynające się od znaków mających specjalne znaczenie w programach arkuszy kalkulacyjnych. Dotyczyło to między innymi znaków równości, plusa, minusa oraz symbolu @, które w odpowiednim kontekście mogą rozpoczynać formuły. Osoba atakująca mogła więc przygotować wartość, która przechodziła kontrolę formularza i była zapisywana jako adres subskrybenta, mimo że po późniejszym wyeksportowaniu mogła zostać potraktowana jako instrukcja arkusza. Samo zapisanie takiej wartości w bazie PrestaShop nie powodowało jeszcze wykonania złośliwego kodu.

Drugi etap wymagał działania pracownika sklepu, który otwierał konfigurację modułu i korzystał z funkcji eksportu subskrybentów do CSV. W podatnym wydaniu ps_emailsubscription niebezpieczne wartości były zapisywane w pliku bez odpowiedniej neutralizacji znaków rozpoznawanych przez arkusze kalkulacyjne. Jeżeli administrator otworzył pobrany plik w Excelu lub LibreOffice Calc, program mógł potraktować określoną komórkę jako formułę zamiast adresu e-mail. W zależności od zawartości formuły, wersji programu i ustawień bezpieczeństwa mogło to prowadzić do prób odwoływania się do zewnętrznych zasobów lub przetwarzania informacji z innych komórek arkusza. W wielu konfiguracjach dodatkowe działania wymagają jednak potwierdzenia ostrzeżenia bezpieczeństwa, dlatego samo pobranie pliku nie oznacza automatycznie skutecznego ataku.

Czym jest CSV Injection i dlaczego zwykły plik tekstowy może być niebezpieczny?

CSV to popularny format wymiany danych, w którym poszczególne wartości są zapisywane jako tekst oddzielony przecinkami, średnikami lub innymi separatorami. Pliki tego typu są szeroko wykorzystywane w handlu internetowym do eksportowania produktów, zamówień, klientów, stanów magazynowych oraz list odbiorców newslettera. Sam format CSV nie zawiera mechanizmu wykonywania programów, ale wiele aplikacji otwierających takie pliki automatycznie rozpoznaje określone wartości jako formuły arkusza kalkulacyjnego. Jeżeli komórka rozpoczyna się od znaku równości lub innego specjalnego symbolu, program może spróbować obliczyć jej zawartość zamiast wyświetlić ją dosłownie. Cyberprzestępcy wykorzystują tę różnicę w interpretacji danych, aby umieszczać potencjalnie niebezpieczne instrukcje w plikach generowanych przez legalne serwisy internetowe.

Organizacja OWASP opisuje CSV Injection jako zagrożenie polegające na umieszczaniu niezaufanych danych w plikach, które następnie są interpretowane przez programy arkuszy kalkulacyjnych. Możliwe konsekwencje zależą od funkcjonalności używanego programu, sposobu przetwarzania formuł i zabezpieczeń systemu operacyjnego. Niektóre formuły mogą odwoływać się do zewnętrznych adresów internetowych, inne mogą próbować pobierać informacje z komórek dokumentu, a historyczne mechanizmy integracji z systemem operacyjnym mogą stwarzać dodatkowe zagrożenia. W nowoczesnych wersjach aplikacji wiele takich operacji jest ograniczanych lub wymaga interakcji użytkownika, dlatego nie można zakładać, że każda złośliwa formuła automatycznie wykonuje dowolne polecenia. Niebezpieczeństwo pozostaje jednak realne, szczególnie gdy pracownik uznaje plik pobrany z własnego sklepu za całkowicie zaufany i akceptuje pojawiające się ostrzeżenia.

Jakie warunki muszą zostać spełnione, aby doszło do skutecznego ataku?

Wykorzystanie GHSA-pg6j-qf29-gc43 wymaga spełnienia kilku warunków, dlatego nie każda instalacja PrestaShop jest automatycznie zagrożona. Przede wszystkim sklep musi korzystać z modułu ps_emailsubscription w wersji starszej niż 3.0.1 i udostępniać formularz umożliwiający zapisanie przygotowanej przez napastnika wartości. Następnie niebezpieczny wpis musi znaleźć się na liście subskrybentów eksportowanej przez administratora. Kolejnym wymaganym etapem jest otwarcie wygenerowanego pliku CSV w programie arkusza kalkulacyjnego, który interpretuje daną wartość jako formułę. Ostateczny skutek zależy od możliwości programu, jego konfiguracji bezpieczeństwa oraz ewentualnego zaakceptowania dodatkowych ostrzeżeń przez użytkownika.

Warto podkreślić, że atakujący nie musi posiadać hasła administratora PrestaShop ani dostępu do zaplecza sklepu, ponieważ jego udział może ograniczać się do przesłania odpowiednio przygotowanych danych przez publiczny formularz. Nie oznacza to jednak, że może bezpośrednio odczytywać bazę danych lub pobierać listę adresów newsletterowych ze sklepu. Przedmiotem ataku jest przede wszystkim środowisko osoby, która otworzy plik zawierający niebezpieczną formułę. Jeżeli administrator eksportuje dane, ale analizuje je wyłącznie w edytorze zwykłego tekstu, opisany mechanizm interpretacji formuł nie zostaje uruchomiony. Podobnie poprawiona wersja modułu ogranicza ryzyko już podczas przygotowywania pliku eksportowego, zanim dane trafią do zewnętrznego programu.

Czy możliwy jest wyciek danych klientów lub przejęcie komputera administratora?

Według oficjalnego zgłoszenia PrestaShop potencjalnym skutkiem wykorzystania podatności może być ujawnienie informacji zawartych w arkuszu kalkulacyjnym. W określonych warunkach złośliwa formuła może próbować wykorzystać funkcje odwołujące się do zasobów zewnętrznych, takie jak HYPERLINK lub WEBSERVICE, aby przekazać wybrane wartości poza komputer użytkownika. Skuteczność takiej operacji zależy jednak od obsługi danej funkcji przez program, jego zabezpieczeń, połączenia sieciowego i sposobu przetwarzania dokumentu. Nie należy więc twierdzić, że każda osoba otwierająca podatny eksport automatycznie ujawni całą bazę adresów newsletterowych. Ryzyko dotyczy informacji dostępnych w konkretnym arkuszu lub innych danych, do których wykorzystana formuła mogłaby uzyskać dostęp w danym środowisku.

Znacznie bardziej zaawansowany scenariusz dotyczy starszych konfiguracji Microsoft Excel wykorzystujących mechanizm Dynamic Data Exchange, określany skrótem DDE. Historycznie umożliwiał on wykonywanie określonych operacji integrujących arkusz kalkulacyjny z innymi aplikacjami, ale stał się również przedmiotem zainteresowania cyberprzestępców. Oficjalne ostrzeżenie PrestaShop wskazuje, że w przestarzałych środowiskach z aktywnym DDE możliwe może być wykonanie polecenia po uzyskaniu potwierdzenia użytkownika. Nie oznacza to jednak, że aktualny Excel lub LibreOffice automatycznie uruchomi dowolny program po otwarciu pliku z listą subskrybentów. Najważniejszym zagrożeniem pozostaje możliwość niezamierzonego wykonania formuły, której zawartość została wcześniej przygotowana przez nieznaną osobę korzystającą z publicznego formularza sklepu.

Które wersje PrestaShop i ps_emailsubscription są zagrożone?

Oficjalne zgłoszenie GHSA-pg6j-qf29-gc43 wskazuje, że podatność dotyczy wszystkich wersji modułu ps_emailsubscription starszych niż 3.0.1. Oznacza to, że instalacje korzystające między innymi z wersji 3.0.0 oraz wcześniejszych wydań znajdują się w zakresie opisanej podatności. Poprawione wydanie 3.0.1 zostało udostępnione 28 października 2026 roku, czyli w dniu publicznego ujawnienia zagrożenia. Podatność nie została przypisana do konkretnej wersji podstawowej platformy PrestaShop, ponieważ jej źródłem jest osobny moduł newslettera. W konsekwencji administrator nie powinien zakładać, że sklep jest zabezpieczony wyłącznie dlatego, że korzysta z aktualnego wydania samego PrestaShop.

Nie wszystkie sklepy posiadają jednak identyczny zestaw modułów, dlatego pierwszym krokiem powinno być sprawdzenie rzeczywistej konfiguracji instalacji. W panelu administracyjnym PrestaShop można przejść do sekcji zarządzania modułami i wyszukać rozszerzenie odpowiadające za subskrypcję e-mail. Należy zweryfikować jego nazwę techniczną, czyli ps_emailsubscription, ponieważ podobnie nazwane dodatki innych producentów mogą działać w zupełnie inny sposób. Jeżeli moduł nie jest zainstalowany, konkretna podatność GHSA-pg6j-qf29-gc43 nie dotyczy danej instalacji. Jeśli natomiast znajduje się na liście i korzysta z wydania starszego niż 3.0.1, należy zastosować oficjalną aktualizację.

Jak działa poprawka bezpieczeństwa w ps_emailsubscription 3.0.1?

Wersja ps_emailsubscription 3.0.1 usuwa problem poprzez zmianę sposobu zapisywania wartości w pliku CSV eksportowanym z listą subskrybentów. W poprawionej implementacji dane rozpoczynające się od znaków, które program arkusza kalkulacyjnego może potraktować jako początek formuły, otrzymują dodatkowe zabezpieczenie. Według oficjalnego komunikatu wartości zaczynające się od znaków =, +, -, @, tabulatora lub znaku powrotu karetki są poprzedzane apostrofem. Ma to sprawić, że aplikacja otwierająca plik potraktuje zawartość komórki jako tekst, a nie instrukcję przeznaczoną do wykonania. Poprawka działa więc na etapie generowania eksportu, czyli w miejscu, w którym dane pochodzące od użytkownika są przygotowywane do wykorzystania poza sklepem.

Zastosowanie aktualizacji nie oznacza automatycznego usunięcia wszystkich nietypowych adresów zapisanych wcześniej w bazie subskrybentów. Poprawiona wersja zabezpiecza sposób ich eksportowania, natomiast istniejące rekordy mogą nadal wymagać przejrzenia i uporządkowania. Należy również pamiętać o plikach CSV wygenerowanych przed aktualizacją, które mogły zostać zapisane na komputerach pracowników, w katalogach pobranych dokumentów lub w systemach wymiany plików. Takie starsze eksporty nie są automatycznie poprawiane podczas instalowania nowej wersji modułu i nadal powinny być traktowane jako potencjalnie niezaufane. Jeżeli potrzebna jest aktualna lista subskrybentów, bezpieczniejszym rozwiązaniem będzie wygenerowanie nowego pliku po zainstalowaniu poprawki zamiast ponownego korzystania z wcześniejszego eksportu.

Jak zabezpieczyć sklep PrestaShop przed CSV Injection?

Najważniejszym działaniem jest aktualizacja ps_emailsubscription do wersji 3.0.1 lub nowszej, pobranej z oficjalnego źródła producenta. Przed wprowadzeniem zmian warto wykonać kopię zapasową plików modułu i bazy danych, szczególnie jeżeli sklep korzysta z dodatkowych integracji marketingowych albo niestandardowych modyfikacji formularza newslettera. Po aktualizacji należy sprawdzić działanie publicznego formularza zapisu, mechanizmu potwierdzania subskrypcji oraz funkcji eksportowania adresów e-mail. Warto również zweryfikować, czy zmiana nie zakłóciła działania integracji przekazujących kontakty do zewnętrznych platform mailingowych. Administrator powinien upewnić się, że instalacja rzeczywiście korzysta z poprawionej wersji modułu, a nie jedynie z pobranego pakietu aktualizacyjnego, który nie został jeszcze wdrożony w działającym sklepie.

Jeżeli natychmiastowa aktualizacja nie jest możliwa, należy czasowo powstrzymać się od otwierania eksportowanych list subskrybentów bezpośrednio w Excelu lub LibreOffice Calc. Bezpieczniejszą metodą jest otwarcie pliku w zwykłym edytorze tekstowym albo zaimportowanie go do arkusza z wymuszeniem tekstowego formatu wszystkich kolumn. W przypadku korzystania z kreatora importu należy wyraźnie wyłączyć automatyczne rozpoznawanie formuł w danych pochodzących z pliku. Nie należy również zatwierdzać komunikatów proponujących włączenie zewnętrznej zawartości, aktualizowanie połączeń lub uruchamianie funkcji mogących wykonywać dodatkowe operacje. Są to zabezpieczenia tymczasowe, które mogą ograniczać ryzyko, ale nie zastępują poprawki usuwającej przyczynę podatności w samym module PrestaShop.

Jak sprawdzić, czy lista newsletterowa zawiera niebezpieczne dane?

Właściciele sklepów, którzy wcześniej korzystali z podatnej wersji ps_emailsubscription, powinni rozważyć sprawdzenie zapisanych adresów pod kątem nietypowych wartości rozpoczynających się od znaków charakterystycznych dla formuł arkuszy kalkulacyjnych. Oficjalny komunikat producenta zaleca zwrócenie uwagi na wpisy zaczynające się od znaku równości, plusa, minusa lub symbolu @, ponieważ właśnie takie wartości mogą być niebezpiecznie interpretowane po eksporcie. Podobną ostrożność należy zachować wobec danych zawierających nietypowe znaki sterujące lub fragmenty sugerujące próbę wykorzystania funkcji arkusza kalkulacyjnego. Nie każdy nietypowy adres jest dowodem ataku, ale obecność podejrzanych wpisów uzasadnia dokładniejszą analizę. Szczególnie ważne jest, aby tej kontroli nie przeprowadzać przez zwykłe otwieranie starszego pliku CSV w programie, który mógłby automatycznie wykonać zawarte w nim formuły.

Kontrolę można przeprowadzić bezpieczniej na poziomie danych zapisanych w bazie PrestaShop albo przy wykorzystaniu narzędzia, które traktuje wszystkie wartości jako zwykły tekst. Jeżeli administrator ma dostęp do historii eksportów i pobranych plików, warto ustalić, czy w okresie działania podatnej wersji generowano listy subskrybentów zawierające niebezpieczne wartości. Szczególną uwagę powinny zwrócić sytuacje, w których po otwarciu dokumentu pojawiały się ostrzeżenia dotyczące zewnętrznych połączeń, odwołań do innych plików lub uruchamiania zawartości. Samo wystąpienie takiego ostrzeżenia nie potwierdza skutecznego wycieku danych, ale może stanowić podstawę do przeanalizowania aktywności komputera pracownika. W przypadku uzasadnionego podejrzenia naruszenia bezpieczeństwa warto zabezpieczyć podejrzany plik i odpowiednie dzienniki zdarzeń, zamiast usuwać wszystkie informacje mogące pomóc w ustaleniu przebiegu incydentu.

Czy GHSA-pg6j-qf29-gc43 jest aktywnie wykorzystywana przez cyberprzestępców?

W oficjalnym komunikacie PrestaShop z 28 października 2026 roku nie przedstawiono potwierdzonych informacji o masowych atakach wykorzystujących GHSA-pg6j-qf29-gc43. Nie podano również liczby sklepów, z których wykradziono dane poprzez złośliwe formuły zapisane w listach newsletterowych. Publiczne zgłoszenie opisuje mechanizm podatności i przedstawia sposób odtworzenia niebezpiecznego zachowania aplikacji, ale nie jest to równoznaczne z udokumentowaniem rzeczywistych włamań. Na 30 października 2026 roku nie ma zatem podstaw do twierdzenia, że cyberprzestępcy prowadzą potwierdzoną kampanię wymierzoną w administratorów sklepów PrestaShop z wykorzystaniem tej konkretnej luki. Brak takich informacji nie oznacza jednak, że podatność należy ignorować, szczególnie że do przygotowania niebezpiecznych danych wystarczy dostęp do publicznego formularza.

Istotnym ograniczeniem z punktu widzenia napastnika jest konieczność doprowadzenia do otwarcia podatnego eksportu w odpowiednim środowisku. W odróżnieniu od podatności umożliwiających natychmiastowe wykonanie kodu na serwerze sklepu, CSV Injection wymaga dodatkowego etapu z udziałem użytkownika. Z drugiej strony eksportowanie list odbiorców newslettera jest normalną czynnością wykonywaną w wielu sklepach internetowych, dlatego nie można uznać tego warunku za całkowicie nierealistyczny. Administratorzy często traktują pliki pochodzące z własnego panelu sprzedażowego jako bezpieczne, mimo że ich zawartość może obejmować dane wprowadzone wcześniej przez osoby niezalogowane. Właśnie takie zaufanie do dokumentu pochodzącego z legalnego systemu może zwiększać prawdopodobieństwo zaakceptowania niebezpiecznych komunikatów pojawiających się podczas otwierania arkusza.

Dlaczego właściciele sklepów PrestaShop nie powinni ignorować tej podatności?

GHSA-pg6j-qf29-gc43 pokazuje, że zagrożenie dla sklepu internetowego nie musi ograniczać się do włamania do panelu administracyjnego, przejęcia bazy danych lub zainstalowania złośliwego kodu PHP na serwerze. W tym przypadku problem występuje w procesie przenoszenia danych z publicznego formularza newslettera do pliku otwieranego na komputerze administratora. Cyberprzestępca może wykorzystać fakt, że informacje dostarczane przez nieznane osoby są później traktowane jako zaufane dane operacyjne. Sama luka otrzymała średnią ocenę CVSS 6,1 i wymaga określonej interakcji użytkownika, ale jej potencjalne konsekwencje obejmują naruszenie poufności informacji dostępnych w arkuszu kalkulacyjnym. Dlatego powinna zostać usunięta tak samo jak inne podatności dotyczące modułów wykorzystywanych do codziennej obsługi e-commerce.

Dla właścicieli sklepów najważniejszym działaniem jest sprawdzenie wersji ps_emailsubscription i przeprowadzenie aktualizacji do wydania 3.0.1 lub nowszego. Równolegle warto zweryfikować wcześniej wygenerowane pliki CSV, przejrzeć nietypowe wpisy na liście subskrybentów i upewnić się, że pracownicy nie otwierają niezaufanych eksportów z automatycznym wykonywaniem formuł. Nie ma podstaw, aby uznawać wszystkie sklepy PrestaShop za podatne, ponieważ zagrożenie dotyczy konkretnego modułu i określonego sposobu przetwarzania jego danych. Przypadek ten przypomina jednak, że ochrona danych klientów zależy również od bezpieczeństwa narzędzi wykorzystywanych poza serwerem sklepu, w tym arkuszy kalkulacyjnych, systemów marketingowych i aplikacji biurowych. Nawet prosty formularz newslettera może stać się elementem poważniejszego incydentu, jeżeli dane wprowadzone przez użytkownika nie zostaną odpowiednio zabezpieczone przed dalszym przetwarzaniem.

Źródła

PrestaShop Security Advisory – GHSA-pg6j-qf29-gc43, oficjalny opis podatności CSV Injection w module ps_emailsubscription z 28 października 2026 roku

PrestaShop GitHub – oficjalne wydanie ps_emailsubscription 3.0.1 zawierające poprawkę bezpieczeństwa

OWASP – CSV Injection, mechanizm działania złośliwych formuł w plikach CSV i metody ograniczania zagrożenia