Magento : StyleSmuggler, la faille zero-day CVSS 10 activement exploitée

/ / Magento

Si vous gérez ou développez des boutiques sous Magento 2 ou Adobe Commerce, ce que je vais dire mérite votre attention immédiate. Une faille critique est activement exploitée depuis le 4 septembre 2026.

StyleSmuggler — ce qu’il faut savoir

La faille CVE-2026-75650, surnommée « StyleSmuggler » par les chercheurs de Sansec (spécialistes sécurité e-commerce), touche Adobe Commerce et Magento Open Source de la 2.4.4 à la 2.4.9 incluse, tous niveaux de patch jusqu’aux versions d’août 2026.

Son score CVSS est 10.0 — le maximum. C’est une RCE (exécution de code à distance) non authentifiée, sans aucune action utilisateur requise, classée CWE-1336 (« Improper Neutralization of Special Elements Used in a Template Engine »).

Détail technique de la chaîne d’exploitation

L’attaque se déroule en plusieurs étapes, bien plus subtiles qu’un simple champ mal filtré :

  1. Requête forgée sur /graphql : l’attaquant envoie une requête POST contenant une directive de template Magento (de type {{block class=...}}) accompagnée d’un paramètre styles pointant vers un fichier local, typiquement ../var/log/system.log
…

Magento : StyleSmuggler, la faille zero-day CVSS 10 activement exploitée Lire la suite »

Lire la suite
Pas de commentaires

Magento 2.4.9 : PHP 8.5, Symfony 7.4 et 580 bugs corrigés

/ / Magento

Magento Open Source 2.4.9 est sorti le 12 mai 2026, en même temps que les patchs de sécurité 2.4.8-p5, 2.4.7-p10 et 2.4.6-p15.
C’est une version mineure mais elle embarque des changements d’infrastructure importants notamment sur PHP et Symfony et qui méritent d’y jeter un œil avant d’envisager une migration.

Ce qui change côté plateforme

C’est probablement le point le plus important pour les developpeurs. Magento 2.4.9 monte d’un cran sur toute la stack :

  • PHP 8.5 — c’est la version recommandée
  • Symfony 7.4 LTS — mise à jour majeure des dépendances Symfony du package magento/composer. Toutes les classes qui étendent des classes Symfony core ont été mises à jour (déclarations de types, signatures de méthodes). À surveiller si vous avez des extensions custom qui touchent à ces couches.
  • MariaDB 11.8 et 12.3 — c’est la combinaison testée et recommandée pour 2.4.9
  • OpenSearch 3, Valkey 9, RabbitMQ 4.2, nginx 1.28

Vérifiez vos classes qui héritent de composants Symfony (console).…

Magento 2.4.9 : PHP 8.5, Symfony 7.4 et 580 bugs corrigés Lire la suite »

Lire la suite
Pas de commentaires

PrestaShop 9.1 : Les mises à jour s’enchaînent

/ / Prestashop

Depuis la sortie de PrestaShop 9.1.0 fin mars,les mises à jour sont nombreuses. En moins de 3 mois, on a déjà 4 nouvelles versions de sorties, dont 3 liées à des correctifs de sécurité.
Pour moi c’est une très bonne nouvelle, ça montre une accélération dans les process de livraisons des nouvelles version chez Prestashop 🙂

Pourquoi autant de correctifs de sécurité ?

L’IA est clairement passée par là. Les outils d’analyse de code basés permettent aujourd’hui de détecter des patterns de vulnérabilités à une vitesse et une échelle qui n’était pas possible avant.
Ce qui est bien c’est que ça profite aux deux côtés : autant aux équipes qui cherchent à corriger, qu’à celles qui cherchent à exploiter.
Les failles sont trouvées plus vite, et les correctifs suivent rapidement aussi.

Et ça ne va pas s’arrêter là car Anthropic prépare la sortie publique de Claude Mythos ( le modèle spécialisé qui a trouvé des milliers de failles sur les plus grands logiciels open source), ainsi que de Claude Security.…

PrestaShop 9.1 : Les mises à jour s’enchaînent Lire la suite »

Lire la suite
Pas de commentaires

Prestashop : Nouvelle gestion des installations et mise à jour des modules de ma boutique

/ / Prestashop

Je travaille dans l’écosystème depuis pas mal d’années, et je distribue des modules gratuitement depuis presque aussi longtemps.
Et je fais le constat que pour contenter tout le monde c’est complexe.

Un écosystème fragmenté

Mais justement après toutes ces années,  Entre les boutiques encore sous PrestaShop 1.7, celles passées sur la version 8, les premières migrations vers la 9, et les combinaisons de PHP 8.1, 8.2, 8.3… il devient vite compliqué de garantir qu’un module donné fonctionne dans tous les environnements, c’est encore plus vrai concernant les mises à jour des modules.

C’est un sujet qui traîne dans mes cartons depuis l’an dernier et la sortie de la version 9 de Prestashop qui pose une problématique avec le fonctionnement actuel de ma boutique.
Les modules sont des produits téléchargeables associé à un produit virtuel prestashop.
Mais cette combinaison ne permets d’avoir qu’un seul fichier associé à chaque module. Et la direction vers laquelle je me dirige sera de faire des versions plus restreintes dans leur compatibilité.…

Prestashop : Nouvelle gestion des installations et mise à jour des modules de ma boutique Lire la suite »

Lire la suite
Pas de commentaires

Serveur dédié : Erreur 431avec Apache

/ / Serveurs Dédiés

Petit article rapide sur un problème que j’ai rencontré cette semaine sur ma boutique personnelle Prestashop.
Ou il m’était impossible d’accéder à la fois au front et au back office car je rencontrais une erreur 431.
Ce problème ne se produisait qu’en étant connecté et pas en navigation privée.

Le message d’erreur est assez explicite, trop d’informations étaient envoyées dans l’entête de la requête.
Apache n’arrivait plus à lire l’ensemble des détails de la requête.
Et le point bizarre c’est qu’en plus il me loguait l’accès à cette page dans un autre vhost que le normal.
Après analyse la cause de l’erreur était la taille des cookies envoyés.
J’avais 8 cookies différents de sessions Prestashop envoyées simultanément ce qui surchargeait les headers.

La solution pour corriger était relativement simple : Supprimer l’ensemble des cookies pour le domaine dans le navigateur.
Ensuite tout fonctionnait à nouveau comme prévu.…

Serveur dédié : Erreur 431avec Apache Lire la suite »

Lire la suite
Pas de commentaires

Prestashop : Reprise et mise à jour du module cronjobs

/ / Prestashop

Prestashop a annoncé en fin d’année dernière la fin de son service de webservice automatique pour la gestion des crons.
L’annonce officielle est disponible ici : https://build.prestashop-project.org/news/2025/sunsetting-the-prestashop-cron-service/

Ce webservice était utilisé par leur module officiel « cronjobs« , qui permets de gérer vos tâches automatique.
(Au passage je n’ai jamais réussi à faire marcher ce webservice, je l’avais donc toujours utilisé dans son autre mode 🙂 )
Ce module n’a pas été mis à jour depuis 2017, et n’est plus fonctionnel avec la dernière version 9 de Prestashop.

Au vu de la communication effectuée dans le post officiel, il ne sera sans doute plus jamais mis à jour.

J’ai donc profité d’un besoin personnel, pour créer un fork du module et y apporter les changements suivants :

  • suppression du mode webservice
  • ajout de la compatibilité avec Prestashop 9

Comme d’habitude pour centraliser tout ça vous pouvez trouver le module sur la boutique.

Télécharger le module complet et gratuit sur la boutique

Vous pouvez également contribuer ou ajouter des issues sur github, si vous voyez des optimisations à y apporter.…

Prestashop : Reprise et mise à jour du module cronjobs Lire la suite »

Lire la suite
Pas de commentaires

Adhérez à Friends of Presta, en 2026 c’est gratuit

/ / Prestashop

Encore une fois, je transfère le message d’information sur l’adhésion de l’association Friends of Presta dont je fais partie depuis plusieurs années 🙂
Et dont je vous invite à faire de même, il y’a le lien pour rejoindre le slack dans la barre de droite  du site

Bonjour à toutes et à tous,

Nous souhaitions partager avec vous une décision importante, prise collectivement par le Bureau et le Conseil d’Administration de l’association Friends of Presta.

2026 : une année d’adhésion gratuite pour toute la communauté

Afin de renforcer la dynamique collective, l’ouverture et la collaboration au sein de l’écosystème PrestaShop, il a été décidé que l’année 2026 serait une année blanche de cotisation.

Concrètement, cela signifie que :

L’adhésion à Friends of Presta sera gratuite pour toutes et tous en 2026

L’objectif est clair : ouvrir largement la communauté, fédérer davantage d’acteurs et créer plus de valeur collective

Cette décision s’inscrit pleinement dans l’ADN open source de PrestaShop et dans la mission de Friends of Presta : valoriser les talents, les entreprises, les contributions et les initiatives de l’écosystème.

…

Adhérez à Friends of Presta, en 2026 c’est gratuit Lire la suite »

Lire la suite
Pas de commentaires

Windows 10 : La fin du support approche, et si vous passiez à Linux ?

/ / Trucs et astuces
Linux

Pour une fois j’attaque un sujet qui n’est pas directement lié au développement mais qui va impacter de nombreux utilisateurs ( et dans une moindre mesure les développeurs qui j’espère utilisent déjà linux 😀 )

Le 14 octobre 2025, Microsoft mettra officiellement fin au support de Windows 10. Pour des millions d’ordinateurs à travers le monde, cette échéance marque un tournant décisif. Face à cette situation, une alternative sérieuse et gratuite s’impose : Linux.
Une prolongation est possible via votre compte Microsoft et vous offre 1 an de support supplémentaire, mais la même question se posera dès l’an prochain.

Que signifie la fin du support de Windows 10 ?

Après le 14 octobre 2025, Windows 10 ne recevra plus :

  • De mises à jour de sécurité
  • De correctifs pour les bugs
  • D’assistance technique de Microsoft

Continuer à utiliser un système non supporté expose votre ordinateur à des risques de sécurité importants : virus, malwares, failles de sécurité non corrigées…
Microsoft pousse les utilisateurs vers Windows 11, mais tous les ordinateurs ne sont pas compatibles.ce…

Windows 10 : La fin du support approche, et si vous passiez à Linux ? Lire la suite »

Lire la suite
Pas de commentaires

Serveur dédiés : bloquer les ips qui scannent les vulnérabilités web avec fail2ban

/ / Serveurs Dédiés

Dans les logs de mon serveur j’ai des milliers de lignes qui correspondent à des analyses de vulnérabilités.
Les serveurs concernés essayent de lire le contenu des fichier .env , de l’admin wordpress … 
Voici une capture d’illustration : 

Attention à bien identifier les élément à bloquer sinon vous pouvez bloquer du traffic légitime !

Nous allons voir comment bloquer ces ips dès leur première tentative.
Pour cela nous allons utiliser fail2ban, si besoin de l’installer, cet article est assez ancien mais toujours fonctionnel. : Sécuriser votre serveur dédié : installation de fail2ban 

Pour commencer nous allons créer une nouvelle règle « apache-scan » qui sera stockée dans le fichier /etc/fail2ban/filter.d/apache-scan.conf
Et dans ce fichier nous allons mettre en place toute nos règles d’exclusion.
Dans mon cas je n’ai pas de site wordpress, du coup je bloque toutes les tentatives de récupération de contenu wordpress.
Ainsi qu’un certain nombre d’autres patterns que je retrouve dans mes logs.
Cette règle n’est pas exhaustive et devra être complétée au fur et à mesure.…

Serveur dédiés : bloquer les ips qui scannent les vulnérabilités web avec fail2ban Lire la suite »

Lire la suite
Pas de commentaires

Magento 2 : Ajouter une colonne dans la grid admin des commandes

/ / Magento

Voici un tutoriel rapide sur la procédure pour rajouter un nouvelle colonne d’information dans la grille admin des commandes.
Dans notre hypothèse je pars sur l’hypothèse qu’on souhaite que la colonne soit physiquement présente dans la table sales_order_grid de la base de données.
Et pour l’exemple nous allons rendre disponible le coupon de réduction utilisé sur la commande.
Celui-ci est initialement stocké dans la colonne coupon_code dans la table sales_order

Pour cela on va créer un module Hhennes_OrderAdminGrid (le lien vers le code sur github est disponible en fin d’article)

Ajout de la colonne dans la table sales_order_grid

Pour cela nous pouvons mettre le code suivant dans le fichier etc/db_schema.xml de notre module

Ajout de colonne dans la vue admin

Pour cela nous pouvons mettre le code suivant dans le fichier view/adminhtml/ui_component/sales_order_grid.xml

<?xml version="1.0"?>
<listing xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
         xsi:noNamespaceSchemaLocation="urn:magento:module:Magento_Ui:etc/ui_configuration.xsd">
    <columns name="sales_order_columns">
        <column name="coupon_code">
            <settings>
                <label translate="true">coupon code</label>
                <filter>text</filter>
                <sorting>asc</sorting>
                <visible>true</visible>
            </settings>
        </column>
    </columns>
</listing>
…

Magento 2 : Ajouter une colonne dans la grid admin des commandes Lire la suite »

Lire la suite
Pas de commentaires