ENAccederEmpezar gratis
Media 6.1 CVSS 3.1 Core Publicado el 20/04/2020

Redirección abierta al usar el parámetro back

CVECVE-2020-5270 GHSAGHSA-375w-q56h-h7qc
Ver en la fuente Ver JSON Última modificación en la fuente: 17/06/2026

Descripción

Redirección abierta al usar el parámetro back

Impacto

Los impactos pueden ser muchos, y van desde el robo de información y credenciales hasta la redirección a webs maliciosas con contenido controlado por el atacante, que en algunos casos llega incluso a provocar ataques XSS. Así que, aunque una redirección abierta pueda parecer inofensiva al principio, sus consecuencias pueden ser graves si es explotable.

Parches

El problema está corregido en la 1.7.6.5 La redirección abierta sigue activa, pero hay que estar conectado. Mantenemos este comportamiento porque los módulos lo usan en el back office.

Referencias

Redirección abierta (CWE-601) Introducida por #13233

Texto original de NVD (NIST), dominio público. Traducción de PrestaShield.

Métricas CVSS 3.1

Fuente: security-advisories@github.com · secondary
Media 6.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
Vector de ataqueRed
ComplejidadBaja
Privilegios requeridosBaja
Interacción del usuarioRequerida
AlcanceCambia
ConfidencialidadBaja
IntegridadNinguna
DisponibilidadNinguna

Referencias

¿Has encontrado una vulnerabilidad?

Escribe al equipo de seguridad del core de PrestaShop:

security-core@prestashop.com

Avisos relacionados

Mismo componente: core de PrestaShop
Todos los avisos del core (94)
IDAvisoComponenteSeveridadVersiones afectadasPublicadoParche
CVE-2026-84186 Suplantación de la IP del cliente mediante X-Forwarded-For en Tools::getRemoteAddr() Core Media 6.9 ≥ 8.0.0 < 8.2.8
≥ 9.0.0 < 9.1.5 07/09/2026 No
GHSA-jf3w-9rmr-5rcr Control de acceso incorrecto en el endpoint de notificaciones del back office expone datos de clientes Core Media 4.3 ≥ 9.0.0 < 9.1.5
≥ 8.0.0 < 8.2.8 18/08/2026 Sí
GHSA-whxq-pxj5-qq7v Inyección SQL a través de los filtros de los listados del back office Core Media 6.5 ≥ 9.0.0 < 9.1.5
≥ 8.0.0 < 8.2.8 18/08/2026 Sí
GHSA-2cr4-vw9p-pjvf La dirección IP del cliente se puede falsificar mediante la cabecera X-Forwarded-For Core Alta 7.3 ≥ 9.0.0 < 9.1.5
≥ 8.0.0 < 8.2.8 18/08/2026 Sí

¿Tu tienda está en 1.7.x < 1.7.6.5?

PrestaShield lo comprueba desde fuera, sin acceso FTP, y te avisa de cada aviso nuevo que te afecte.
Detectar si mi tienda está afectada