CVE-2026-54159

Nome do Software Vulnerável e Versões Afetadas ps facetedsearch versões 3.0.0 até 4.0.3

Description Uma falha de Injeção de Objeto PHP não autenticada existe no módulo ps facetedsearch. O módulo reconstrói filtros de pesquisa a partir da URL da requisição, onde os valores de filtros de controle deslizante (slider), especificamente price ou weight, são aceitos sem validação suficiente. Esses valores são armazenados em um cache interno de blocos de filtro em formato serializado e, posteriormente, processados usando a função nativa unserialize() em src/Filters/Block.php. Um invasor pode explorar isso enviando um objeto PHP serializado malicioso para o cache. Após a desserialização, uma cadeia de gadgets permite que o invasor escreva um arquivo PHP arbitrário no diretório modules/ps facetedsearch/, que pode ser utilizado como um webshell para executar comandos remotos e comprometer totalmente o servidor.

Recommendations Atualize o módulo ps facetedsearch para a versão 4.0.4. No método getFromCache() dentro de src/Filters/Block.php, substitua a chamada unserialize() nativa por Tools::unSerialize(). Remova os filtros de controle deslizante de preço e peso dos templates de filtro expostos no front-office. Limpe o cache de filtros de pesquisa facetada e audite o diretório modules/ps facetedsearch/ em busca de arquivos PHP inesperados. Monitore as requisições de pesquisa em busca de padrões de serialização PHP e bloqueie-os no nível do WAF.