Öncelikle geçmiş olsun,
eklenti yada sistem açığı olabilir. Konu ile ilgili opencart forumlarınıza baktınız mı?
direk html sayfası mı yüklenmiş yoksa anasayfada ilgili bir bölüme mi kod atılmıi bunlara baktınız mı?
Biraz incelediğimde json_decode function Remote PHP Code Execution başlığı altında bir açık geziyor ortalıkda. Version: 2.1.0.2 to 2.2.0.0 (Latest version) için.