Faille de sécurité du module PrestaShop ps_facetedsearch

🚨 Alerte sécurité PrestaShop

🛡️ Faille critique du module ps_facetedsearch : votre boutique PrestaShop est-elle en danger ?

Tout comprendre sur la vulnérabilité de la « Recherche à facettes », savoir si vous avez déjà été piraté, et fermer la porte en 5 minutes. ⏱️

Si vous gérez une boutique PrestaShop, cet article peut littéralement sauver votre site. 💾 Une faille de sécurité critique touche le module officiel ps_facetedsearch (la fameuse « Recherche à facettes » qui affiche les filtres prix / marque / couleur sur vos pages catégories). Elle permet à un attaquant d'agir sans aucun mot de passe, sans aucun compte. 😱

Bonne nouvelle : la corriger est simple et rapide. Encore faut-il savoir quoi vérifier. On vous explique tout, étape par étape, même si vous n'êtes pas développeur. 👇

🔍 1. C'est quoi, concrètement, cette faille ?

Le module « Recherche à facettes » lit les filtres directement depuis l'adresse de la page (ce qui se trouve après le ?q= dans l'URL). Exemple d'une URL parfaitement normale :

/3-chaussures?q=Couleur-Noir/Marque-Nike&order=product.price.asc

Le problème : dans les versions vulnérables, ces filtres ne sont pas suffisamment nettoyés avant d'être utilisés. Un attaquant peut donc glisser des instructions malveillantes à la place d'un simple « Noir » ou « Nike ». C'est ce qu'on appelle une injection SQL 💉 — et dans le pire des cas, elle permet de déposer un fichier pirate sur le serveur pour en prendre le contrôle.

🎭 2. Comment un pirate s'y prend (exemples volontairement incomplets)

Étape 1 — l'attaquant teste l'injection. Au lieu d'un filtre normal, il envoie quelque chose comme :

/3-categorie?q=Poids-0)%20UNION%20SELECT%20…(coupé)…--%20-

Étape 2 — il cherche à déposer un fichier piégé (un « webshell ») dans un dossier du site, à l'aide d'instructions du type INTO OUTFILE '…/up.php'. C'est précisément pourquoi l'éditeur recommande de chercher des fichiers PHP anormaux dans le dossier du module.

Étape 3 — il utilise ce fichier pour exécuter des commandes :

/modules/ps_facetedsearch/up.php?c=…(commande)…

👉 En clair : le pirate passe de « visiteur anonyme » à « propriétaire de votre serveur » en quelques requêtes. Il peut alors voler vos données clients, injecter du spam SEO, ou rediriger vos paiements. 💳❌

🕵️ 3. Suis-je DÉJÀ piraté ? Les vérifications à faire

Voici les signes qui ne trompent pas. Vous pouvez demander ces vérifications à votre hébergeur ou à votre développeur si vous n'êtes pas à l'aise avec la ligne de commande.

✅ A. Des fichiers PHP qui n'ont rien à faire là

Cherchez tout fichier .php récent ou inattendu dans le dossier du module :

find modules/ps_facetedsearch/ -name "*.php" -mtime -30

⚠️ Un fichier au nom bizarre (ex. up.php, x.php, shell.php) ou une double extension (ex. logo.png.php) = très mauvais signe. 🚩

✅ B. Des traces d'attaque dans les journaux du serveur

Cherchez les requêtes contenant des signatures d'injection SQL :

grep -iE "union.+select|into.+outfile|information_schema" access.log

Si vous trouvez ces mots dans des URL visiteurs, quelqu'un a tenté quelque chose. Vérifiez ensuite le code de réponse : un 200 avec une grosse réponse est plus inquiétant qu'un 404 / 302.

✅ C. Des fichiers PHP cachés ailleurs (racine, /img, /upload)

Aucun fichier exécutable ne devrait normalement vivre dans /img ou /upload (à part les index.php vides de PrestaShop) :

find img/ upload/ -name "*.php"

✅ D. Les autres pièges classiques

• 👤 Un compte administrateur que vous ne reconnaissez pas (Paramètres avancés → Équipe).
• 📝 Des descriptions / méta-descriptions de pages modifiées avec du texte ou des liens étrangers (spam SEO).
• ⏰ Une tâche planifiée (CRON) inconnue.
• 🔀 Des redirections inattendues vers d'autres sites.

🛠️ 4. Comment fermer la porte (en 5 minutes)

🧱 5. Bonus : 6 réflexes pour ne plus jamais se faire avoir

1. 🔄 Mettez à jour PrestaShop et tous vos modules régulièrement.
2. 🧹 Supprimez les modules inutilisés : chaque module = une porte potentielle.
3. 👁️ Installez un module de surveillance de fichiers (alerte dès qu'un fichier est créé/modifié).
4. 🛡️ Activez un pare-feu applicatif (WAF) chez votre hébergeur.
5. 🚫 Demandez à désactiver les fonctions PHP dangereuses (exec, system, shell_exec, passthru…).
6. 💾 Faites des sauvegardes automatiques et testez-les.

🎯 Conclusion

Cette faille est sérieuse, mais la parade est à la portée de tous : mettez à jour en 4.0.4, ou débarrassez-vous du module si vous ne vous en servez pas. Prenez 5 minutes aujourd'hui 🕐 — c'est infiniment moins coûteux que de récupérer une boutique piratée. 💪

Article informatif rédigé à but de prévention. Les exemples techniques sont volontairement incomplets pour des raisons de sécurité. 🙏