Media 6.1 CVSS 3.1 ndk_advanced_custom_fields Publicado el 21/12/2022

XSS por el parámetro htmlNodes en NdkAdvancedCustomizationFields (ndk_advanced_custom_fields) 3.5.0

CVECVE-2022-40841 GHSASin aviso GHSA

Ver en la fuente Ver JSON Última modificación en la fuente: 09/07/2026

Descripción

Una vulnerabilidad de Cross-Site Scripting (XSS) en NdkAdvancedCustomizationFields v3.5.0 permite a atacantes ejecutar script web o HTML arbitrario mediante cargas manipuladas inyectadas en el parámetro «htmlNodes».

Texto original de NVD (NIST), dominio público. Traducción de PrestaShield.

Métricas CVSS 3.1

Fuente: nvd@nist.gov · primary

Media 6.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Vector de ataqueRed

ComplejidadBaja

Privilegios requeridosNinguna

Interacción del usuarioRequerida

AlcanceCambia

ConfidencialidadBaja

IntegridadBaja

DisponibilidadNinguna

Referencias

Exploitgithub.com
https://github.com/daaaalllii/cve-s/blob/main/CVE-2022-40841/poc.txt

¿Has encontrado una vulnerabilidad?

Escribe al equipo de seguridad del core de PrestaShop:

security-core@prestashop.com

Avisos relacionados

Mismo módulo: ndk_advanced_custom_fields

Todos los avisos de ndk_advanced_custom_fields (4)

IDAvisoComponenteSeveridadVersiones afectadasPublicadoParche

CVE-2022-40842 SSRF en el módulo NdkAdvancedCustomizationFields 3.5.0 de ndk design ndk_advanced_custom_fields Crítica 9.1 ≤ 3.5.0 22/11/2022 No

CVE-2022-40840 XSS en createPdf.php de NdkAdvancedCustomizationFields (ndk_advanced_custom_fields) 3.5.0 ndk_advanced_custom_fields Media 6.1 ≤ 3.5.0 02/11/2022 No

CVE-2022-40839 Inyección SQL sin autenticación en NdkAdvancedCustomizationFields (ndk_advanced_custom_fields) 3.5.0 ndk_advanced_custom_fields Alta 7.5 = 3.5.0 01/11/2022 No

¿Usas el módulo ndk_advanced_custom_fields?

PrestaShield lo comprueba desde fuera, sin acceso FTP, y te avisa de cada aviso nuevo que te afecte.

Detectar si mi tienda está afectada